DE102019220096B4 - Method for safeguarding the time synchronization of an Ethernet on-board network - Google Patents

Abstract

Translated fromGerman

Verfahren zur Absicherung der Zeitsynchronisation eines Ethernet-Bordnetzes (2) eines Kraftfahrzeugs (1), bei welchem folgende Schritte durchgeführt werden:- Bestimmen einer Laufzeit (9) eines ersten Signals (10) auf einem ersten Verbindungsweg (6) zwischen einer ersten Steuereinheit (3) des Ethernet-Bordnetzes (2) und einer zweiten Steuereinheit (4) des Ethernet-Bordnetzes (2);- Bestimmen einer Maximalgeschwindigkeit (11) des ersten Verbindungswegs (6) anhand der Laufzeit (9); und- Bestimmen einer Art eines Übertragungsmediums (12) des ersten Verbindungswegs (6) anhand der Maximalgeschwindigkeit (11), dadurch gekennzeichnet, dass durch die Bestimmung der Laufzeit (9) eines ersten Signals (10) und der Bestimmen der Maximalgeschwindigkeit (11) des ersten Verbindungswegs und die Bestimmung der Art eines Übertragungsmediums (12) des ersten Verbindungswegs (6) eine Entropiequelle gebildet wird, aus der mindestens ein dynamischer Schlüssel (28) für den Verbindungsweg (6) ermittelt wird, der zur Verschlüsselung von Zeitsynchronisationsnachrichten für den Verbindungsweg (6) eingesetzt wird.Method for safeguarding the time synchronization of an Ethernet on-board network (2) of a motor vehicle (1), in which the following steps are carried out: - Determination of a transit time (9) of a first signal (10) on a first connection path (6) between a first control unit ( 3) the Ethernet on-board network (2) and a second control unit (4) of the Ethernet on-board network (2); - determining a maximum speed (11) of the first connection path (6) on the basis of the transit time (9); and- determining a type of transmission medium (12) of the first connection path (6) on the basis of the maximum speed (11), characterized in that by determining the transit time (9) of a first signal (10) and determining the maximum speed (11) of the first connection path and the determination of the type of transmission medium (12) of the first connection path (6) an entropy source is formed from which at least one dynamic key (28) for the connection path (6) is determined, which is used to encrypt time synchronization messages for the connection path ( 6) is used.

Description

Translated fromGerman

Feldfield

Die vorliegende Erfindung betrifft Kommunikationsnetzwerke mit miteinander synchronisierten Netzwerkgeräten.The present invention relates to communication networks with network devices that are synchronized with one another.

Hintergrundbackground

Automobilhersteller (OEM's) und Tier-1-Zulieferer der Automobilindustrie bereiten die nächste Generation der Architektur für Fahrzeugsteuerungen oder elektronische Steuergeräte / Steuereinheiten, ECU's, vor. Eine Entwicklung ist die so genannte „Zonenorientierte Architektur“, bei der Steuergeräte in Zonen gruppiert werden, wie z.B. eine vordere rechte Türzone. Ein Unterschied zu früheren Architekturen besteht darin, dass sich die Controller an bestimmten physikalischen oder räumlichen Positionen befinden, um die Daten der dort positionierten Sensoren optimal zu erfassen. So kann beispielsweise eine Steuereinheit, das Daten von einem Sensor in der rechten Vordertür sammelt, in der rechten Vordertürzone positioniert werden.Automobile manufacturers (OEMs) andTier 1 suppliers to the automobile industry are preparing the next generation of the architecture for vehicle controls or electronic control units / control units, ECUs. One development is the so-called "zone-oriented architecture", in which control devices are grouped into zones, such as a front right door zone. One difference to earlier architectures is that the controllers are located in certain physical or spatial positions in order to optimally record the data from the sensors positioned there. For example, a control unit that collects data from a sensor in the right front door can be positioned in the right front door zone.

Ebenfalls in Betracht gezogen wird die Lokalisierung oder Verteilung der Softwareausführung für Features und Anwendungen auf andere Controller und Prozessoren. Eine solche Lokalisierung oder Verteilung kann Teil einer Optimierung sein und auch im Falle eines Fehlers oder eines Ausfalls, z.B. eines Steuergeräts, eingesetzt werden. Diese Lokalisierung oder Verteilung wird als dynamische Migration oder einfach als Migration bezeichnet. Die Serienproduktion für die dynamische Migration von Software auf andere Steuergeräte/Prozessoren innerhalb des Fahrzeugs wird in Kürze erwartet.The localization or distribution of the software execution for features and applications to other controllers and processors is also considered. Such localization or distribution can be part of an optimization and can also be used in the event of an error or failure, e.g. of a control unit. This localization or distribution is known as dynamic migration, or simply migration. Series production for the dynamic migration of software to other control units / processors within the vehicle is expected shortly.

Ethernet kann das Netzwerk der Wahl für den Anschluss von Steuergeräten in einem Netzwerk sein. Die Ethernet-Technologie wird immer beliebter für die elektrischen Systeme von Fahrzeugen und Zulieferprodukten. Der Einsatz der Ethernet-Technologie erfordert ein effektives Synchronisationskonzept.Ethernet can be the network of choice for connecting control devices in a network. Ethernet technology is becoming increasingly popular for the electrical systems of vehicles and supplier products. The use of Ethernet technology requires an effective synchronization concept.

Bestehende Ethernet-Systeme können eine Implementierung des Zeitsynchronisationsstandards IEEE 802.1 AS verwenden. Zwei Varianten, die besondere Aufmerksamkeit erregt haben, sind die Auswahl der 802.1AS-Rev und der Zeitbereich der 802.1AS-Rev, wobei letzterer eine zwingende Voraussetzung für die erste ist. Weitere Protokolle außerhalb der physikalischen Übertragungsstandards sind Ethernet AVB und sein Nachfolger Ethernet TSN. Ethernet AVB wurde bereits für Automobile in der Serienproduktion eingeführt. Ein wesentlicher Substandard für Ethernet TSN und AVB ist der Zeitsynchronisationsstandard IEEE802.1 AS, der vom Hauptstandard IEEE 802.1 für Higher Layer LAN Protokolle (Bridging) abhängig ist. Beide Standards nutzen das Precision Time Protocol (PTP) der IEEE 1588, um eine gemeinsame Zeitbasis in einem Ethernet-Netzwerk zu etablieren,Existing Ethernet systems can use an implementation of the time synchronization standard IEEE 802.1 AS. Two variants that have attracted particular attention are the selection of the 802.1AS-Rev and the time range of the 802.1AS-Rev, the latter being a mandatory requirement for the first. Other protocols outside of the physical transmission standards are Ethernet AVB and its successor, Ethernet TSN. Ethernet AVB has already been introduced for automobiles in series production. An essential substandard for Ethernet TSN and AVB is the time synchronization standard IEEE802.1 AS, which is dependent on the main standard IEEE 802.1 for higher layer LAN protocols (bridging). Both standards use the Precision Time Protocol (PTP) of IEEE 1588 to establish a common time base in an Ethernet network,

Ethernet-Verbindungen unterstützen auf dem Layer 3 des OSI-Schichtenmodells eine Vielzahl von Vermittlungsprotokollen für die Übertragung von Datenpaketen zwischen Sendern und Empfängern. In den höheren Protokollschichten erfolgt die Segmentierung des Datenstroms in Pakete, die Prozesskommunikation zwischen miteinander kommunizierenden Systemen, die Übersetzung von Daten in eine systemunabhängige Form und schließlich die Bereitstellung von Funktionen für Anwendungen.OnLayer 3 of the OSI layer model, Ethernet connections support a large number of switching protocols for the transmission of data packets between senders and receivers. In the higher protocol layers, the data stream is segmented into packets, the process communication between communicating systems, the translation of data into a system-independent form and finally the provision of functions for applications.

Fast alle in Fahrzeugen eingesetzten Ethernet-Kommunikationsnetzwerke nutzen ein Protokoll zur Zeitsynchronisation, das eine in allen Netzwerkgeräten synchrone globale Zeitbasis des Netzwerks bereitstellt. Es wird erwartet, dass der Verbreitungsgrad zeitlich synchronisierter Netzwerkgeräte in Zukunft weiter zunimmt.Almost all Ethernet communication networks used in vehicles use a time synchronization protocol that provides a global time base of the network that is synchronous in all network devices. It is expected that the widespread use of time-synchronized network devices will continue to increase in the future.

Der IEEE 802.1 AS-Standard stellt ein solches Protokoll zur Zeitsynchronisation bereit. Ausgehend von einer sogenannten „besten Uhr“ im Netzwerk, auch als Grandmaster oder Grandmaster Clock bezeichnet, wird eine Master-Slave-Uhrenhierarchie aufgebaut. Der Grandmaster stellt dabei die Zeitbasis für das Netzwerk bereit, auf die alle anderen Netzwerkgeräte des Netzwerks sich synchronisieren. Der Grandmaster wird mittels des sogenannten Best Master Clock Algorithmus (BMCA) bestimmt und innerhalb des Netzwerks bekanntgegeben. Dazu senden IEEE 802.1AS-fähige Netzwerkgeräte Announce-Nachrichten mit Informationen über ihre interne Uhr an unmittelbar angeschlossene weitere Netzwerkgeräte. Die Informationen über die internen Uhren geben Aufschluss auf die Genauigkeit der jeweiligen Uhr, deren Bezug oder Zeitreferenz sowie andere Eigenschaften, anhand derer die beste Uhr in dem Netzwerk bestimmt werden kann. Ein Empfänger einer solchen Announce-Nachricht vergleicht die empfangenen Informationen mit den Merkmalen seiner eigenen internen Uhr und evtl. bereits von einem anderen Port empfangenen Nachrichten mit Informationen zu Uhren anderer Netzwerkgeräte, und akzeptiert eine in einem anderen Netzwerkgerät befindliche Uhr, wenn diese bessere Uhrenparameter hat. Nach kurzer Zeit ist die beste Uhr in dem Netzwerk ermittelt, die dann der Grandmaster in dem Netzwerk wird. Ausgehend von dem Grandmaster werden Nachrichten zur Zeitsynchronisation über das Netzwerk verbreitet. Ein Netzwerkgerät das eine Nachricht zur Zeitsynchronisation empfängt leitet diese nicht einfach weiter, sondern korrigiert die Zeitinformation um die zuvor ermittelte Laufzeit auf der Verbindung, über die es Nachrichten zur Zeitsynchronisation von einem direkt verbundenen Netzwerkgerät empfängt, sowie um die interne Bearbeitungsdauer, bevor es die Nachricht zur Zeitsynchronisation mit der korrigierten Zeitinformation weitersendet.The IEEE 802.1 AS standard provides such a protocol for time synchronization. A master-slave clock hierarchy is set up based on what is known as the “best clock” in the network, also known as a grandmaster or grandmaster clock. The grandmaster provides the time base for the network to which all other network devices in the network synchronize. The Grandmaster is determined using the so-called Best Master Clock Algorithm (BMCA) and announced within the network. For this purpose, IEEE 802.1AS-capable network devices send announce messages with information about their internal clock to directly connected network devices. The information about the internal clocks provides information on the accuracy of the respective clock, its reference or time reference and other properties by means of which the best clock in the network can be determined. A recipient of such an announce message compares the received information with the characteristics of his own internal clock and possibly messages already received from another port with information on clocks of other network devices and accepts a clock in another network device if it has better clock parameters . After a short time, the best clock in the network is determined, which then becomes the grandmaster in the network. Starting from the grandmaster, messages for time synchronization are distributed over the network. A network device that receives a time synchronization message does not simply forward it, but rather corrects the time information by the previously determined runtime on the connection over which it sends time synchronization messages from a directly connected network device receives, as well as the internal processing time before it forwards the message for time synchronization with the corrected time information.

Bei der Uhrenhierarchie gemäß IEEE 802.1 AS und dem darin festgelegten „generalized precision time protocol“ (gPTP) stellt immer nur ein einziges Netzwerkgerät die beste Uhr des Netzwerkes bereit. Dieses Netzwerkgerät steuert und regelt somit die gesamte Zeit des Fahrzeugs. Alle anderen Uhren in Netzwerkgeräten des Netzwerkes richten sich ausschließlich nach dieser einen Uhr. Einige Fahrzeughersteller synchronisieren sogar Netzwerke anderer Standards, bspw. CAN, über diesen Ethernet-Zeitmaster, so dass fast allen Netzwerkgeräten des Fahrzeugs von dem den Grandmaster bereitstellenden Netzwerkgerät die Systemzeit mitgeteilt wird. Dadurch ist in dem Netzwerk bzw. dem Fahrzeug ein einzelnes Netzwerkgerät als Single Point of Failure festgelegt, dessen Ausfall oder Manipulation gravierende Auswirkungen auf die Betriebssicherheit des Fahrzeugs haben kann. So müssen bspw. in Fahrzeugen mit einem hohen Grad an Fahrerunterstützung durch entsprechende Systeme oder mit Systemen für das (Teil-)Autonome Fahren eine Vielzahl von innerhalb eines engen Zeitfensters erfassten Sensordaten gemeinsam verarbeitet werden, um entsprechende Ansteuersignale für Aktoren des Fahrzeugs abzuleiten. Auch für Dokumentationszwecke kann eine möglichst genaue Zeiterfassung von Sensordaten von großer Bedeutung sein, bspw. bei der Speicherung in Log-Dateien, durch deren Analyse Fehlfunktionen oder Fehlbedienungen rekonstruiert werden können. Letzteres ist insbesondere für Versicherungen und Strafverfolgungsbehörden von hohem Interesse. Daher ist eine sichere synchronisierte Bereitstellung der Zeitinformation unverzichtbar.With the clock hierarchy according to IEEE 802.1 AS and the "generalized precision time protocol" (gPTP) defined therein, only one network device ever provides the best clock in the network. This network device controls and regulates the entire time of the vehicle. All other clocks in network devices in the network are based exclusively on this one clock. Some vehicle manufacturers even synchronize networks of other standards, for example CAN, via this Ethernet time master, so that the system time is communicated to almost all network devices in the vehicle by the network device providing the grandmaster. As a result, a single network device is defined as a single point of failure in the network or the vehicle, the failure or manipulation of which can have serious effects on the operational safety of the vehicle. For example, in vehicles with a high degree of driver support through appropriate systems or with systems for (partially) autonomous driving, a large number of sensor data recorded within a narrow time window must be processed together in order to derive appropriate control signals for actuators of the vehicle. For documentation purposes as well, the most accurate possible time recording of sensor data can be of great importance, for example when storing in log files, through the analysis of which malfunctions or operating errors can be reconstructed. The latter is of particular interest to insurance companies and law enforcement agencies. Reliable, synchronized provision of the time information is therefore essential.

DieDE 10 2012 216 689 B4 schlägt zur Erkennung von Angriffen dieser Art vor, Laufzeiten von Nachrichten zur Zeitsynchronisation innerhalb des Kommunikationsnetzes zu überwachen. Ein zwischen zwei Netzwerkgerät geschaltetes zusätzliches Netzwerkgerät, das Nachrichten abfängt und weiterleitet wird die Laufzeit der Nachrichten zwangsläufig verändern, selbst wenn die weitergeleitete Nachricht nicht verändert wird.theDE 10 2012 216 689 B4 proposes to detect attacks of this type to monitor the runtimes of messages for time synchronization within the communication network. An additional network device connected between two network devices that intercepts and forwards messages will inevitably change the runtime of the messages, even if the forwarded message is not changed.

DieDE 10 2005 025 328 A1 betrifft in Verfahren zur Übertragung von Synchronisierungs-Nachrichten, beispielsweise PTP-Nachrichten des IEEE-1588-Standards, wobei die PTP-Nachricht in ein Datenpaket gemäß dem Internet-Protokoll eingefügt wird, wobei das Datenpaket einen IP-Header aufweist und wobei das Datenpaket einen UDP-Header aufweist. Dabei wird zur verschlüsselten Übertragung der PTP-Nachricht das Datenpaket an einen für verschlüsselte PTP-Nachrichten reservierten UDP-Port adressiert, das Datenpaket wird mit einem zusätzlichen für die Verschlüsselung vorgesehenen S-PTP-Header ausgestattet, die PTP-Nachricht wird um eine Pseudo-Zufallszahl erweitert, und die PTP-Nachricht wird zusammen mit der Pseudo-Zufallszahl verschlüsselt.theDE 10 2005 025 328 A1 relates to a method for the transmission of synchronization messages, for example PTP messages of the IEEE 1588 standard, the PTP message being inserted into a data packet according to the Internet protocol, the data packet having an IP header and the data packet being a UDP headers. For the encrypted transmission of the PTP message, the data packet is addressed to a UDP port reserved for encrypted PTP messages, the data packet is equipped with an additional S-PTP header intended for encryption, the PTP message is expanded to include a pseudo Random number is expanded and the PTP message is encrypted along with the pseudo-random number.

DieUS 2018 0034794 A1 offenbart ein Verfahren und Vorrichtung zum Aktualisieren eines Verschlüsselungsschlüssels zum Durchführen einer verschlüsselten Kommunikation über ein Kommunikationsnetzwerk. Das Verfahren umfasst innerhalb eines Zeitstempelverteilungsknotens das Senden einer Nachricht an mindestens einen Zeitstempelempfangsknoten des Kommunikationsnetzwerks, der einen Zeitstempelwert enthält. Das Verfahren umfasst das Empfangen der Nachricht innerhalb des Zeitstempelverteilungsknotens innerhalb des mindestens einen Zeitstempelempfangsknotens und das Extrahieren des Zeitstempelwerts. Dabei umfasst das Verfahren innerhalb jedes Zeitstempelverteilungsknotens und des mindestens einen Zeitstempelempfangsknotens das Erzeugen mindestens eines aktualisierten Verschlüsselungsschlüssels zum Durchführen einer verschlüsselten Kommunikation, die zumindest teilweise auf dem extrahierten Zeitstempelwert basiert.the US 2018 0034794 A1 discloses a method and apparatus for updating an encryption key for performing encrypted communication over a communication network. The method comprises, within a time stamp distribution node, the sending of a message containing a time stamp value to at least one time stamp receiving node of the communication network. The method comprises receiving the message within the time stamp distribution node within the at least one time stamp receiving node and extracting the time stamp value. The method includes within each time stamp distribution node and the at least one time stamp receiving node generating at least one updated encryption key for performing encrypted communication that is based at least in part on the extracted time stamp value.

DieEP 2 974 504 B1 offenbart eine Kommunikationsvorrichtung umfassend eine Kommunikationsschnittstelleneinheit umfassend, eine Sendereinheit, die zur Übertragung von Daten unter Verwendung von elektromagnetischer Energie extrem hoher Frequenz, EHF, im Nahbereich, auf eine Rechenvorrichtung über einen ersten Übertragungsweg konfiguriert ist; eine Empfängereinheit, die zum Empfangen von Daten aus der Rechenvorrichtung über einen zweiten Übertragungsweg konfiguriert ist; und eine Schnittstellensteuerschaltung, die mit der Sendereinheit und der Empfängereinheit gekoppelt ist, und konfiguriert ist, um identifizierende Informationen aus der EHF-Übertragung, die durch die Rechenvorrichtung übertragen wurden, nachzuweisen; Trainings- und Fähigkeitsinformationen aus der EHF-Übertragung, die durch die Rechenvorrichtung übertragen wurden, nachzuweisen; ein oder mehrere Attribute der nachgewiesenen Trainings- und Fähigkeits-informationen zu bewerten; zu bestimmen, ob eine Kommunikationsverknüpfung über den ersten und den zweiten Übertragungsweg mit der Rechenvorrichtung auf Basis der Bewertung eingerichtet ist; eine Rundlauf-Propagationszeit der entlang eines Kommunikationswegs übertragenen Trainingsinformationen beginnend ab der Kommunikationsvorrichtung, durch die Rechenvorrichtung, und zurück zur Kommunikationsvorrichtung zu berechnen; eine Verschlüsselung auf Basis mindestens zum Teil der berechneten Rundlauf-Propagationszeit der Trainingsinformationen zu erzeugen; und Informationen, die zwischen der Kommunikationsschnittstelleneinheit und der Rechenvorrichtung ausgetauscht werden, auf Basis mindestens zum Teil der erzeugten Verschlüsselung zu verschlüsseln.theEP 2 974 504 B1 discloses a communication device comprising a communication interface unit comprising, a transmitter unit configured to transmit data using extremely high frequency electromagnetic energy, EHF, at close range, to a computing device over a first transmission path; a receiver unit configured to receive data from the computing device via a second transmission path; and an interface control circuit coupled to the transmitter unit and the receiver unit and configured to detect identifying information from the EHF transmission transmitted by the computing device; Demonstrate training and skill information from the EHF transmission transmitted by the computing device; evaluate one or more attributes of the demonstrated training and skill information; to determine whether a communication link is established over the first and the second transmission path with the computing device on the basis of the assessment; calculate a round trip propagation time of the training information transmitted along a communication path starting from the communication device, through the computing device, and back to the communication device; generate an encryption based at least in part on the calculated round-trip propagation time of the training information; and information exchanged between the communication interface unit and the computing device be encrypted on the basis of at least part of the generated encryption.

Auch am Beispiel beim Einsatz von AUTOSAR Überlegungen werden fast alle Daten, die zwischen den Steuereinheiten ausgetauscht werden, mittels IP, somit der IP-Schicht, übertragen, d.h. dass alle Merkmale und Dienste der IP-Schicht genutzt werden. Hier liegt der Focus auf IP-Sec. IPsec, deren Kurzform für Internet Protocol Security steht, ist eine Protokoll-Suite, die eine gesicherte Kommunikation über IP-Netze ermöglichen soll. Das Ziel ist es, eine verschlüsselungsbasierte Sicherheit auf Netzwerkebene bereitzustellen. IPsec bietet durch die verbindungslose Integrität sowie die Zugangskontrolle und Authentifikation der Daten diese Möglichkeit an. Zudem wird durch IPsec die Vertraulichkeit sowie Authentizität der Paketreihenfolge durch Verschlüsselung gewährleistet.Using the example of the use of AUTOSAR considerations, almost all of the data exchanged between the control units is transmitted using IP, i.e. the IP layer, i.e. all features and services of the IP layer are used. Here the focus is on IP-Sec. IPsec, whose short form stands for Internet Protocol Security, is a protocol suite that is intended to enable secure communication over IP networks. The goal is to provide encryption-based security at the network level. IPsec offers this possibility through the connectionless integrity as well as the access control and authentication of the data. In addition, IPsec guarantees the confidentiality and authenticity of the packet sequence through encryption.

Die Zeitsynchronisation, wie am Beispiel von gPTP bzw. 802.1 AS ersichtlich ist, wird nicht über die IP-Schicht übertragen, sondern sie ist im Fahrzeug noch nicht geschützt. Vergleichbare Protokolle wie IPSec gibt es auf den unteren Schichten heute noch nicht im Automobil bzw. würde zu viel höheren Kosten führen bspw. MACSEC. Generell werden die Nachrichten mittels Ethernet transportiert. Ethernet ist hier das eigentliche Transportprotokoll, d.h. die Nachrichten werden nicht über die IP Schicht transportiert. Die dort implementieren und vorhandenen Schutzmechanismen können nicht verwendet werden.The time synchronization, as can be seen in the example of gPTP or 802.1 AS, is not transmitted via the IP layer, but is not yet protected in the vehicle. Comparable protocols such as IPSec do not yet exist on the lower layers in automobiles or would lead to much higher costs, e.g. MACSEC. The messages are generally transported via Ethernet. Ethernet is the actual transport protocol here, i.e. the messages are not transported over the IP layer. The protective mechanisms implemented and available there cannot be used.

Somit bieten heutigen Verfahren und Protokolle zur Zeitsynchronisation keine einfachen Möglichkeiten zum Schutz. Jedes Netzwerkgerät kann aus den als einfache Multicast Ethernet-Frames an mehrere oder alle Netzwerkgeräte des Netzwerks gesendeten Nachrichten zur Zeitsynchronisation einfach ableiten, welches Netzwerkgerät in dem Netzwerk der Grandmaster ist. Schutzmechanismen auf höheren Protokollschichten wie etwa IPSEC oder TLS und dergleichen können auf dieser Ebene noch nicht greifen. Zum anderen, wenn die Zeitsynchronisationsnachrichten über IP gesendet werden, geht die Genauigkeit der Uhrensynchronisation resp. der eigentlichen Datenfusion verloren. Die Manipulation kann schwerwiegende Auswirkungen haben, wenn bspw. Daten zur Sensorfusion verändert werden und Daten von z.B. einer Kamera und eines Radars fusioniert werden, welche aber nicht zusam mengehören .Thus, today's methods and protocols for time synchronization do not offer any simple options for protection. Each network device can easily deduce from the messages for time synchronization sent as simple multicast Ethernet frames to several or all network devices in the network, which network device in the network is the grandmaster. Protective mechanisms on higher protocol layers such as IPSEC or TLS and the like cannot yet take effect at this level. On the other hand, if the time synchronization messages are sent via IP, the accuracy of the clock synchronization resp. the actual data fusion is lost. The manipulation can have serious effects if, for example, data for sensor fusion is changed and data from, for example, a camera and a radar are merged, but which do not belong together.

Aus dem Stand der Technik sind einige Ansätze zur Erkennung von Änderungen der Konfiguration oder Struktur eines Kommunikationsnetzwerks unter Nutzung der Zeitsynchronisation des Netzwerks bekannt. Eine unautorisierte Änderung der Konfiguration des Netzwerks kann bspw. das Zwischenschalten eines Netzwerkgeräts zur Vorbereitung eines Angriffs umfassen, das Nachrichten zur Analyse abfängt und ggf. veränderte Nachrichten weitersendet. Dies kann dazu genutzt werden, den sicheren und ordnungsgemäßen Betrieb zu verhindern oder zumindest zu stören.Some approaches for detecting changes in the configuration or structure of a communication network using the time synchronization of the network are known from the prior art. An unauthorized change in the configuration of the network can include, for example, the interposition of a network device in preparation for an attack, which intercepts messages for analysis and, if necessary, forwards changed messages. This can be used to prevent or at least disrupt safe and proper operation.

Es ist daher eine Aufgabe der Erfindung, ein Verfahren, ein das Verfahren implementierendes Steuergerät und ein Bordnetzwerk anzugeben, welche einen verbesserten Schutz der Zeitsynchronisation gewährleisten.It is therefore an object of the invention to specify a method, a control device implementing the method and an on-board network which ensure improved protection of the time synchronization.

Diese Aufgabe wird durch das in Anspruch 1 angegebene Verfahren und die im Anspruch 11 angegebene Steuereinheit, gelöst. Ausgestaltungen und Weiterentwicklungen sind in jeweiligen abhängigen Ansprüchen angegeben.This object is achieved by the method specified inclaim 1 and the control unit specified inclaim 11. Refinements and further developments are given in the respective dependent claims.

In einer Ausgestaltung des Verfahrens zur Absicherung der Zeitsynchronisation eines Ethernet-Bordnetzes2 eines Kraftfahrzeugs1, werden folgende Schritte durchgeführt werden:

• -Bestimmen einer Laufzeit9 eines ersten Signals10 auf einem ersten Verbindungsweg6 zwischen einer ersten Steuereinheit3 des Ethernet-Bordnetzes2 und einer zweiten Steuereinheit4 des Ethernet-Bordnetzes2;
• -Bestimmen einer Maximalgeschwindigkeit11 des ersten Verbindungswegs6 anhand der Laufzeit9; und
• - Bestimmen einer Art eines Übertragungsmediums12 des ersten Verbindungswegs6 anhand der Maximalgeschwindigkeit11,

Hierbei wird durch dieBestimmung der Laufzeit9 eines ersten Signals10 und der Bestimmen der Maximalgeschwindigkeit11 des ersten Verbindungswegs und die Bestimmung der Art eines Übertragungsmediums12 des ersten Verbindungswegs6 eine Entropiequelle gebildet, aus der mindestens ein dynamischer Schlüssel28 fürden Verbindungsweg6 ermittelt wird, der zur Verschlüsselung einer Zeitsynchronisationsnachrichten fürden Verbindungsweg6 eingesetzt wird.In one embodiment of the method for safeguarding the time synchronization of an on-board Ethernet network 2 of amotor vehicle 1 , the following steps will be performed:

• - Determining a runningtime 9 of afirst signal 10 on a first connection path 6th between afirst control unit 3 of the on-board Ethernet network 2 and a second control unit 4th of the on-board Ethernet network 2 ;
• - Determining amaximum speed 11 of the first connection path 6th based on theterm 9 ; and
• - Determining a type of transmission medium 12th of the first connection path 6th based on themaximum speed 11 ,

This is done by determining the runningtime 9 of afirst signal 10 and determining themaximum speed 11 the first connection path and the determination of the type of transmission medium 12th of the first connection path 6th an entropy source is formed from at least one dynamic key 28 for the connection path 6th is determined for the encryption of a time synchronization message for the connection path 6th is used.

In einer weiteren Ausgestaltung des Verfahrens wird der der dynamischer Schlüssel28 für den Verbindungsweg6 in der Form gebildet, dass dieser einmalig pro Zeiteinheit und für jeden Link und im Ethernet-Bordnetzwerk einmalig ist.In a further embodiment of the method, the becomes the dynamic key 28 for the connection path 6th formed in such a way that it is unique per time unit and for each link and in the on-board Ethernet network.

Eine weitere Ausgestaltung der Erfindung zeichnet sich dadurch aus, dass eine Generierung des dynamischer Schlüssel28 für den Verbindungsweg6 durch die Kombination einer Punkt-zu-Punkt-Leitungsverzögerung und der Nachrichtenfrequenz erfolgt.Another embodiment of the invention is characterized in that a generation of the dynamic key 28 for the connection path 6th by the combination of a point-to-point line delay and the message frequency.

Eine weitere Ausgestaltung der Erfindung zeichnet sich dadurch aus, dass die Art des Übertragungsmediums12 einem Programm13 im Ethernet-Bordnetz2 mitgeteilt wird und eine Verbindungswegwahl14 des Programms13 abhängig von der Art des Übertragungsmediums12 angepasst wird und das Programm13 sämtliche Information der Entropiequelle aufnimmt und die Generierung des dynamischer Schlüssel28 für den Verbindungsweg6 erfolgt.Another embodiment of the invention is characterized in that the type of transmission medium 12th a program 13th in the on-board Ethernet network 2 is communicated and a connection route selection 14th of the program 13th depending on the type of transmission medium 12th is adjusted and the program 13th absorbs all information from the entropy source and generates the dynamic key 28 for the connection path 6th he follows.

Bei einer weiteren Ausgestaltung des Verfahrens wird die Art des Übertragungsmediums12 als optisch, Kupfer oder drahtlos bestimmt.In a further embodiment of the method, the type of transmission medium 12th intended as optical, copper or wireless.

Eine weitere Ausgestaltung des Verfahrens zeichnet sich dadurch aus, dass dem ersten Verbindungsweg6 anhand der Art des Übertragungsmediums12 ein Übertragungssicherheitswert15, welcher eine Verlustwahrscheinlichkeit von über den ersten Verbindungsweg6 übertragenen Daten beschreibt, zugewiesen wird.Another embodiment of the method is characterized in that the first connection path 6th based on the type of transmission medium 12th a transmission security value 15th , which is a probability of loss of over the first connection path 6th describes transferred data, is assigned.

Eine weitere Ausgestaltung des Verfahren zeichnet sich dadurch aus, dass eine Laufzeiten von einer Mehrzahl von Signalen auf dem ersten Verbindungsweg6 bestimmt werden und die schnellste Laufzeit der Mehrzahl der Signale ausgewählt wird, wobei die Maximalgeschwindigkeit11 des ersten Verbindungswegs6 anhand der schnellsten Laufzeit bestimmt wird.Another embodiment of the method is characterized in that a transit time of a plurality of signals on the first connection path 6th can be determined and the fastest transit time of the majority of the signals is selected, themaximum speed 11 of the first connection path 6th is determined based on the fastest running time.

Eine weitere Ausgestaltung des Verfahren zeichnet sich dadurch aus, dass eine Laufzeit16 eines zweiten Signals17 auf einem vom ersten Verbindungsweg6 unterschiedlichen zweiten Verbindungsweg7 zwischen der ersten Steuereinheit3 und der zweiten Steuereinheit4 bestimmt wird, und eine Maximalgeschwindigkeit11 des zweiten Verbindungswegs7 bestimmt wird, wobei eine Art des Übertragungsmediums19 des zweiten Verbindungswegs7 anhand der Maximalgeschwindigkeit11 des zweiten Verbindungswegs7 bestimmt wird.Another embodiment of the method is characterized by the fact that a running time 16 a second signal 17th on one of the first communication routes 6th different second connection path 7th between thefirst control unit 3 and the second control unit 4th is determined, and amaximum speed 11 of the second connection path 7th is determined, being a type of transmission medium 19th of the second connection path 7th based on themaximum speed 11 of the second connection path 7th is determined.

Eine weitere Ausgestaltung des Verfahrens zeichnet sich dadurch aus, dass das Verfahren nach einem Wechsel der ersten Steuereinheit3 von einem Normalbetriebsmodus in einen Energiesparmodus und/oder vom Energiesparmodus in den Normalbetriebsmodus ausgeführt wird.Another embodiment of the method is characterized in that the method after a change of thefirst control unit 3 is executed from a normal operating mode to an energy-saving mode and / or from the energy-saving mode to the normal operating mode.

In einer weiteren Ausgestaltung wird die Laufzeit9 des ersten Signals10 mit der ersten Steuereinheit3 bestimmt und eine Laufzeit21 eines dritten Signals22 auf einem nur indirekt mit der ersten Steuereinheit3 verbundenen dritten Verbindungsweg8 zwischen der zweiten Steuereinheit4 und einer dritten Steuereinheit5 des Ethernet-Bordnetzes2 mit der dritten Steuereinheit5 bestimmt, wobei die Bestimmung der Laufzeit21 des dritten Signals22 durch eine von der ersten Steuereinheit3 an die dritte Steuereinheit5 gesendete Dienstnachricht20 ausgelöst wird.In a further embodiment, the term is 9 of thefirst signal 10 with thefirst control unit 3 determined and a term 21 a third signal 22nd on one only indirectly with thefirst control unit 3 connected third connection path 8th between the second control unit 4th and athird control unit 5 of the on-board Ethernet network 2 with thethird control unit 5 determined, determining theterm 21 of the third signal 22nd by one of thefirst control unit 3 to thethird control unit 5 service message sent 20th is triggered.

Die Ausgestaltung der Steuereinheit für ein Ethernet-Bordnetz2, welche als erste Steuereinheit3 dazu ausgebildet ist:

• -ein Signal10 aneine zweite Steuereinheit4 des Ethernet-Bordnetzes2 zu senden unddas Signal10 von der zweiten Steuereinheit4 zu empfangen;
• -eine Laufzeit9 des Signals10 auf einem Verbindungsweg6 zur zweiten Steuereinheit4 zu bestimmen;
• -eine Maximalgeschwindigkeit11 desVerbindungswegs6 anhand der Laufzeit9 zu bestimmen; und
• - eine Art eines Übertragungsmediums12 desVerbindungswegs6 anhand der Maximalgeschwindigkeit11 zu bestimmen,

wobei die Steuereinheit3 mindestens

• -eine Mikroprozessor402,
• - einen flüchtigen Speicher404 und nichtflüchtigen Speicher406,
• - mindestens zwei Kommunikationsschnittstellen408,
• - einen synchronisierbaren Zeitgeber410 umfasst,

und der nichtflüchtige Speicher406 Programminstruktionen enthält die, wenn sievon dem Mikroprozessor402 ausgeführt werden, zumindest eine Ausgestaltung des erfindungsgemäßen Verfahrens nach Anspruch 1bis 10 implementieren und die Entropiequelle im flüchtigen und/oder nichtflüchtigen Speicher404,406 gebildet wird, aus der die dynamischen Schlüssel28 für dieVerbindungswege6 gebildet werden.The design of the control unit for an on-board Ethernet network 2 which as thefirst control unit 3 is trained to:

• - asignal 10 to a second control unit 4th of the on-board Ethernet network 2 to send and thesignal 10 from the second control unit 4th to recieve;
• - aterm 9 of thesignal 10 on a connecting path 6th to the second control unit 4th to determine;
• - amaximum speed 11 of the connection path 6th based on theterm 9 to determine; and
• - some kind of transmission medium 12th of the connection path 6th based on themaximum speed 11 to determine

thecontrol unit 3 at least

• - amicroprocessor 402 ,
• - a volatile memory 404 and non-volatile memory 406 ,
• - at least two communication interfaces 408 ,
• - asynchronizable timer 410 includes,

and the non-volatile memory 406 Contains program instructions when they are sent by themicroprocessor 402 are carried out, implement at least one embodiment of the method according to the invention according toclaims 1 to 10 and the entropy source in the volatile and / or non-volatile memory 404 , 406 is formed from which the dynamic key 28 for the connecting routes 6th are formed.

Eine Ausgestaltung des Ethernet-Bordnetzes2 für ein Kraftfahrzeug1, mit einer ersten Steuereinheit3 und einer zweiten Steuereinheit4, wobei die Steuereinheiten3,4 über zumindest einen Verbindungsweg6,7 miteinander verbunden sind, und die erste Steuereinheit3 gemäß Anspruch 11 ausgebildet ist.An embodiment of the on-board Ethernet network 2 for amotor vehicle 1 , with afirst control unit 3 and a second control unit 4th , thecontrol units 3 , 4th via at least one connection path 6th , 7th are connected to each other, and thefirst control unit 3 according toclaim 11 is formed.

Eine weitere Ausgestaltung des Ethernet-Bordnetz zeichnet sich dadurch aus, dass das Ethernet-Bordnetz2 eine dritte Steuereinheit5 aufweist, welche nur indirekt mit der ersten Steuereinheit3 verbunden ist und über einen dritten Verbindungsweg8 direkt mit der zweiten Steuereinheit4 verbunden ist, wobei die dritte Steuereinheit5 dazu ausgebildet ist, eine Laufzeit21 eines dritten Signals22 auf dem dritten Verbindungsweg8 zu bestimmen, wobei die erste Steuereinheit3 dazu ausgebildet ist, die Bestimmung der Laufzeit21 des dritten Signals22 durch eine Dienstnachricht20 an die dritte Steuereinheit5 auszulösen.Another embodiment of the Ethernet on-board network is characterized in that the Ethernet on-board network 2 athird control unit 5 has, which only indirectly with thefirst control unit 3 is connected and via a third connection path 8th directly to the second control unit 4th is connected, thethird control unit 5 is designed to have a term 21 a third signal 22nd on the third connection route 8th to determine where thefirst control unit 3 is designed to determine the runningtime 21 of the third signal 22nd through a service message 20th to thethird control unit 5 trigger.

Eine Ausgestaltung wird durch ein Computerprogrammprodukt wiedergegeben. Hierbei umfasst das Computerprogrammprodukt Befehle, die bei der Ausführung des Programms durch einen Computer diesen veranlassen, das Verfahren200 nach einem oder mehreren der Ansprüche 1 -10 auszuführen.An embodiment is reproduced by a computer program product. In this case, the computer program product comprises commands that cause a computer to execute the program, themethod 200 according to one or more of claims 1 - 10 to execute.

Eine Ausgestaltung erfolgt auf einem Computerlesbareres Medium, auf dem das Computerprogrammprodukt nach Anspruch 12 gespeichert ist.An embodiment takes place on a computer-readable medium on which the computer program product according toclaim 12 is stored.

Eine Ausgestaltung erfolgt in einem Fahrzeug mit mehrere Steuereinheiten3,4,5 nach Anspruch 12 umfassenden Ethernet-Bordnetzes.One embodiment takes place in a vehicle withseveral control units 3 , 4th , 5 according to claim 12 comprehensive Ethernet on-board network.

Durch die Erfindung wird die Security im Bereich von Ethernet erhöht und somit Sicherheitslücken geschlossen. Des Weiteren wird ein standardisierbarer Ansatz angegeben, der den Einsatz von Ethernet in Fahrzeugen für Automotive erleichtert.The invention increases security in the area of Ethernet and thus closes security gaps. Furthermore, a standardizable approach is specified that facilitates the use of Ethernet in vehicles for the automotive industry.

Bei diesem Verfahren ermitteln die Steuereinheit eine Laufzeit für die Datenübermittlung über das Bordnetzwerk zu einer zweiten Steuereinheit. Wichtig ist, dass die Ermittlung der Laufzeit in irgendeiner Form auf der Basis einer tatsächlichen physischen Gegebenheit des Übertragungsweges von der ersten Steuereinheit zur zweiten Steuereinheit erfolgt, d.h., dass es eine physische Gegebenheit oder Eigenschaft des Übertragungsweges gibt, deren Änderung zu einer Änderung der ermittelten Laufzeit führt. Auf Basis der Leitungsverzögerung und der Nachrichtenfrequenz wird ein individueller und sich ständig veränderter Schlüssel generiert. Dieser Schlüssel ist einmalig pro Zeiteinheit und auch pro Link unterschiedlich und es gibt keinen Schlüssel zweimal im NetzwerkIn this method, the control unit determines a runtime for the data transmission via the on-board network to a second control unit. It is important that the determination of the transit time takes place in some form on the basis of an actual physical condition of the transmission path from the first control unit to the second control unit, i.e. that there is a physical condition or property of the transmission path that changes the determined transit time leads. An individual and constantly changing key is generated on the basis of the line delay and the message frequency. This key is unique per time unit and also different per link and there is no key twice in the network

Mit anderen Worten die Zeitsynchronisationsnachrichten werden mit einem dynamischen Schlüssel verschlüsselt, welcher sich aus individuellen Parametern zum Verbindungspartner ableiten lässt, die eine Entropiequelle bilden.In other words, the time synchronization messages are encrypted with a dynamic key, which can be derived from individual parameters relating to the connection partner, which form a source of entropy.

Durch die Generierung des Schlüssels aus der Kombination von Punkt-zu-Punkt-Leitungsverzögerung und der Frequenz des Quarzes wird der Schlüssel besonders resistent gegen Umgehungsversuche da sich zum einen der Schlüssel ständig verändert und zum anderen auf jedem Link im Fahrzeugnetzwerk unterschiedlich sein wird. Die beiden Werten können entweder direkt in Kombination verwendet werden oder noch um andere statische Werte, welche beiden Steuergeräten bzw. Steuereinheiten bekannt sein müssen und, wie bspw. die Adresse, erweitert werden, um die Schlüssel zu generieren.By generating the key from the combination of point-to-point line delay and the frequency of the quartz, the key is particularly resistant to attempts to circumvent it, because on the one hand the key is constantly changing and on the other hand it will be different on every link in the vehicle network. The two values can either be used directly in combination or by other static values which both control devices or control units must be known and, such as the address, can be expanded in order to generate the key.

Die Berücksichtigung der zuvor ermittelten Laufzeit und der Nachrichtenfrequenz ist in diesem Zusammenhang eine Entropiequelle, die die Sicherheit weiter erhöht. Typische Zufallsgeneratoren für Computer und insbesondere für Embedded-Systeme oder Netzwerkkomponenten sind keine „echten“ Zufallsgeneratoren in dem Sinne, dass ein nicht deterministischer physikalischer Prozess, wie beispielsweise elektronisches Rauschen oder radioaktiver Zerfall, in ein digitales Signal umgesetzt wird. Vielmehr kommen hier Pseudo-Zufallsgeneratoren zum Einsatz. Diese Generatoren erzeugen ausgehend von einer Initialisierung in deterministischer Weise Zahlenfolgen und sind für die Initialisierung häufig auch auf quasizufällige Systemereignisse angewiesen.In this context, taking into account the previously determined transit time and the message frequency is a source of entropy that further increases security. Typical random number generators for computers and especially for embedded systems or network components are not “real” random number generators in the sense that a non-deterministic physical process, such as electronic noise or radioactive decay, is converted into a digital signal. Rather, pseudo-random generators are used here. Starting from an initialization, these generators generate number sequences in a deterministic manner and are often also dependent on quasi-random system events for the initialization.

Den durch das Verfahren bereitgestellten Effekt, nämlich den Schutz gegen unbefugtes Abhören, Verfälschen der Kommunikation und gegen den Austausch von Geräten, kann man auch auf andere Weise und mit noch höherem Sicherheitsniveau erzielen, beispielsweise durch den Einsatz von Hardware-Verschlüsselung bedienen, die auf der Steuereinheit oder dem Bordnetzwerk zum Einsatz kommt.The effect provided by the method, namely protection against unauthorized eavesdropping, falsification of communication and the exchange of devices, can also be achieved in other ways and with an even higher level of security, for example by using hardware encryption that is based on the Control unit or the on-board network is used.

Im Fahrzeug ist es hingegen in der Regel nicht wirtschaftlich, allen mit dem Netzwerk verbundenen Teilnehmern eine für lückenlos verschlüsselte Kommunikation ausreichende Hardwareausstattung auszustatten. Das beschriebene Verfahren setzt deutlich geringere Hardwareressourcen voraus und kann mit vorhandenen Implementierungen umgesetzt werden und steigert somit das Sicherheitsniveau deutlich, ohne dass dies zwangsläufig mit höheren Herstellungskosten für das Bordnetzwerk oder daran angeschlossene Geräte gekoppelt wäre.In the vehicle, on the other hand, it is generally not economical to equip all participants connected to the network with sufficient hardware equipment for seamlessly encrypted communication. The described method requires significantly lower hardware resources and can be implemented with existing implementations and thus significantly increases the level of security without this necessarily being coupled with higher manufacturing costs for the on-board network or devices connected to it.

Wie zuvor beschrieben, ist ein wesentlicher Vorteil des Verfahrens, dass es sich auch ohne den Einsatz zusätzlicher Hardware die vom ersten Teilnehmer zum zweiten Teilnehmer führende Leitung als Mittel zur hardwaremäßigen Erzeugung von Entropie für die zufällige Erstellung der Zeitverschlüsselung zu Nutze machen kann. Dieses Verfahren kann insbesondere in Form einer Software implementiert sein, die als Update oder Upgrade zu bestehender Software oder Firmware von Teilnehmern am Netzwerk vertrieben werden kann und insofern eine eigenständige Lösung darstellt.As described above, a major advantage of the method is that it can make use of the line leading from the first subscriber to the second subscriber as a means for the hardware-based generation of entropy for the random creation of the time encryption, even without the use of additional hardware. This method can in particular be implemented in the form of software that can be distributed as an update or upgrade to existing software or firmware by participants in the network and to this extent represents an independent solution.

In vorteilhafter Weise kann durch die Erfindung die Güte der Ausführung von Software-basierenden Anwendungen (z. B. Automatisiertes Fahren) erhöht werden, insbesondere ohne finanziellen Mehraufwand. Das erfindungsgemäße Bordnetzwerk ist im Hinblick auf Kosten und Zuverlässigkeit verbessert. Hierdurch kann durch softwarebasierte Verfahren die Metainformation aus den Steuereinheiten oder dem Bordnetzwerk generiert, um hieraus dann eine höhere Funktionalität zu schaffen.The invention can advantageously increase the quality of the execution of software-based applications (e.g. automated driving), in particular without additional financial outlay. The on-board network according to the invention is in terms of cost and reliability improved. In this way, the meta information can be generated from the control units or the on-board network using software-based methods in order to then create a higher level of functionality.

In vorteilhafter Weise kann durch die Erfindung die Sicherheit eines Fahrzeugnetzwerks signifikant und sehr einfach erhöht werden. Mit der Nutzung des neu eingeführten Ethernet-Protokolls im Automobil sind Mechanismen notwendig, die sich einfache Techniken und gegebene Eigenschaften von Technologien zu Nutze machen, um auf teure Implementierungen und weitere zusätzliche Hardware verzichten zu können. Durch frühzeitigere Erkennung von Angriffen und Fehlverhalten mittels der frühen Analyse der Kommunikationspfade lassen sich Lücken und Fehler vor der Auslieferung des Fahrzeugs erkennen. Das erfindungsgemäße Bordnetzwerk ist im Hinblick auf Kosten und Zuverlässigkeit verbessert. Die Testbarkeit des Bordnetzwerk wird durch die Erfindung klarer definiert und dadurch können Testkosten gespart werden. Zudem bietet die Erfindung eine transparente Sicherheitsfunktionalität.In an advantageous manner, the invention can significantly and very easily increase the security of a vehicle network. With the use of the newly introduced Ethernet protocol in automobiles, mechanisms are necessary that make use of simple techniques and given properties of technologies in order to be able to dispense with expensive implementations and other additional hardware. Early detection of attacks and misconduct using the early analysis of the communication paths enables gaps and errors to be identified before the vehicle is delivered. The on-board network according to the invention is improved in terms of costs and reliability. The testability of the on-board network is more clearly defined by the invention and test costs can be saved as a result. In addition, the invention offers a transparent security functionality.

Durch das vorgestellte Verfahren ist sichergestellt, dass jeder Link im Fahrzeug und damit auch jeder Link in jedem Fahrzeug weltweit eine unterschiedliche Verschlüsselung aufweist. Das Bordnetzwerk ist damit deutlich sicherer als vergleichbare Systeme, da der Schlüssel sich ständig verändert und zusätzlich auf einer sicheren Entropiequelle basiert.The method presented ensures that every link in the vehicle and thus every link in every vehicle worldwide has a different encryption. The on-board network is therefore significantly more secure than comparable systems, since the key is constantly changing and is also based on a secure source of entropy.

Durch die Erfindung wir eine Erhöhung der Qualität von verteilten Anwendungen wie bspw. Sensorfusion ermöglicht. Als Vorteil aus der anwendungsspezifischen Bestimmung einer besseren Uhr ergibt sich eine Verbesserung der Zeitsynchronisation für die gewählte Anwendung. Dadurch kann die maximale mögliche Genauigkeit aus diesem Protokoll, oder ähnlichen Protokollen, welche nur einen zeitgebenden Knoten haben, erreicht werden. Hierdurch ergeben sich genauere Synchronisationen, wodurch auf teurere Quarze und Komponenten verzichten werden kann. Dies kann auch Auswirkungen auf sonst benötigte Pufferspeicher haben, auf die dann verzichtet werden kann oder kleiner ausgelegt wird. Fusionen von verschieden Daten, wie bspw. Kamera und Radar können hiermit verbessert und genauer ausgelegt werden. Weiterhin kann das Loggen von Daten noch präziser gestaltet werden.The invention enables an increase in the quality of distributed applications such as sensor fusion. The advantage of the application-specific determination of a better clock results in an improvement in the time synchronization for the selected application. As a result, the maximum possible accuracy can be achieved from this protocol, or similar protocols that only have one timing node. This results in more precise synchronizations, which means that expensive crystals and components can be dispensed with. This can also have an impact on buffer storage that is otherwise required, which can then be dispensed with or is designed to be smaller. Mergers of different data, such as camera and radar, can be improved and designed more precisely. Furthermore, the logging of data can be made even more precise.

Durch die Erfindung wird eine plattformunabhängige Software mit höherer Qualität erzielt. Mit diesem Verfahren lässt sich die Software flexibler gestalten und vorteilhaft Information aus dem darunter liegenden System nutzen ohne es vorher fix in die Software programmiert zu haben. Die Erfindung erlaubt es den Softwareentwicklern und -Architekten eine Software/Anwendung anzubieten, welche flexibler und präziser auf die Anforderungen des Anwendungsfalles zugeschnitten werden kann. Durch den Einbau der genannten Verfahren in Software kann jeweils oder innerhalb des Steuergerätes eine Optimierung erfolgen. Dies bedeutet, dass Software plattformunabhängiger wird.The invention achieves platform-independent software of higher quality. With this method, the software can be designed more flexibly and information from the underlying system can be used advantageously without having to have it programmed into the software beforehand. The invention allows software developers and architects to offer software / applications that can be tailored more flexibly and precisely to the requirements of the application. By incorporating the above-mentioned methods in software, optimization can take place in each case or within the control unit. This means that software is becoming more platform-independent.

Ein Vorteil dieser Erfindung ist, dass die gängige Hardware nicht verändert werden muss, sondern die bestehende weiterverwendet werden kann. Das neue Verfahren kann in ein bestehendes Netzwerk integriert werden ohne dass vorhandene Geräte bzw. Steuereinheiten zu Schaden kommen. Ein eingesetzter Standard wird nicht verletzt, weil das vorhandene Protokoll genutzt werden kann.One advantage of this invention is that the current hardware does not have to be changed, but the existing hardware can continue to be used. The new process can be integrated into an existing network without damaging existing devices or control units. A standard used is not violated because the existing protocol can be used.

Das Senden der verschlüsselten Nachrichten zur Zeitsynchronisation durch die ausgewählten Netzwerkgeräte kann beginnen, sobald an alle Netzwerkgeräte die eindeutige Uhrenidentifikation der bei der Initialisierung ermittelten Grandmaster Clock gesendet wurde. Es ist jedoch auch möglich das Senden der verschlüsselten Nachrichten zur Zeitsynchronisation erst zu beginnen, wenn eine erste Zeitsynchronisation aller Netzwerkgeräte des Netzwerks abgeschlossen ist.The transmission of the encrypted messages for time synchronization by the selected network devices can begin as soon as the unique clock identification of the grandmaster clock determined during initialization has been sent to all network devices. However, it is also possible to start sending the encrypted messages for time synchronization only when an initial time synchronization of all network devices in the network has been completed.

Die Steuereinheiten sind miteinander über physikalische Schnittstellen verbunden. Nachrichten zur Zeitsynchronisation werden über für die Schnittstelle definierten logischen Port gesendet, so dass auch bei gemeinsam genutzten physikalischen Übertragungsmedien zwischen zwei Netzwerkgeräten Punkt-zu-Punkt-Verbindungen für die Zeitsynchronisation bestehen. In der vorliegenden Beschreibung wird der Begriff Schnittstelle gleichbedeutend mit dem Begriff Port verwendet, wenn sich aus dem Kontext nichts anderes ergibt.The control units are connected to one another via physical interfaces. Messages for time synchronization are sent via the logical port defined for the interface, so that point-to-point connections for time synchronization exist between two network devices even with shared physical transmission media. In the present description, the term interface is used synonymously with the term port, unless the context indicates otherwise.

Ein erfindungsgemäßes Computerprogrammprodukt enthält Befehle, die bei der Ausführung durch einen Computer diesen dazu veranlassen, eine oder mehrere Ausgestaltungen und Weiterentwicklungen des vorstehend beschriebenen Verfahrens ausführen.A computer program product according to the invention contains instructions which, when executed by a computer, cause the computer to carry out one or more refinements and further developments of the method described above.

Das Computerprogrammprodukt kann auf einem computerlesbaren Medium oder Datenträger gespeichert sein. Der Datenträger kann physisch verkörpert sein, bspw. als Festplatte, CD, DVD, Flash-Speicher oder dergleichen, der Datenträger bzw. das Medium kann aber auch ein moduliertes elektrisches, elektromagnetisches oder optisches Signal umfassen, das von einem Computer mittels eines entsprechenden Empfängers empfangen und in dem Speicher des Computers gespeichert werden kann.The computer program product can be stored on a computer-readable medium or data carrier. The data carrier can be embodied physically, for example as a hard disk, CD, DVD, flash memory or the like, but the data carrier or medium can also comprise a modulated electrical, electromagnetic or optical signal that is received by a computer by means of a corresponding receiver and can be stored in the memory of the computer.

Eine zumindest erfindungsgemäße Steuereinheit umfasst neben einem Mikroprozessor und nichtflüchtigem und flüchtigem Speicher sowie einem Zeitgeber mindestens eine physikalische Kommunikationsschnittstelle. Die Komponenten der Steuereinheit sind mittels einer oder mehreren Datenleitungen oder -bussen kommunikativ miteinander verbunden. Der Speicher der Steuereinheit enthält Computerprogramminstruktionen, die bei Ausführung durch den Mikroprozessor das Netzwerkgerät dazu einrichten, eine oder mehrere Ausgestaltungen des vorstehend beschriebenen Verfahrens zu implementieren.At least one control unit according to the invention comprises, in addition to a microprocessor and non-volatile and volatile memory and a timer, at least one physical one Communication interface. The components of the control unit are communicatively connected to one another by means of one or more data lines or buses. The memory of the control unit contains computer program instructions which, when executed by the microprocessor, set up the network device to implement one or more configurations of the method described above.

Das erfindungsgemäße Verfahren kann mit existierenden Netzwerkgeräten umgesetzt werden, wobei ggf. nur Anpassungen in der Software bzw. der für den Empfang und die Verarbeitung von Nachrichten zur Zeitsynchronisation genutzten Zustandsmaschinen erforderlich sind, um nur die von der bei der Initialisierung ermittelten Grandmaster Clock kommenden Nachrichten zur Zeitsynchronisation für die Synchronisierung der Uhren zu nutzen, die zusätzlichen Nachrichten zur Zeitsynchronisation aber trotzdem weiterzuleiten und nicht einfach zu löschen. Dadurch fallen, wenn überhaupt, für die Umsetzung nur geringe zusätzliche Kosten an. Auch bestehende Systeme können durch entsprechend geänderte Software dazu eingerichtet werden, das Verfahren umzusetzen. Ein weiterer Vorteil des erfindungsgemäßen Verfahrens liegt darin, dass die jeweils zugrundeliegende Hardwareplattform ohne Bedeutung ist, solange diese eine Synchronisierung nach dem IEEE 802.1AS-Standard unterstützen.The method according to the invention can be implemented with existing network devices, with only adjustments in the software or the state machines used for receiving and processing messages for time synchronization being necessary in order to only receive the messages coming from the grandmaster clock determined during initialization To use time synchronization for synchronizing the clocks, but still forward the additional messages for time synchronization and not simply delete them. As a result, there are only minor additional costs, if any, for implementation. Existing systems can also be set up to implement the process using appropriately modified software. Another advantage of the method according to the invention is that the hardware platform on which it is based is irrelevant as long as it supports synchronization according to the IEEE 802.1AS standard.

FigurenlisteFigure list

Im Folgenden wird die Erfindung mit Bezug auf die Zeichnung exemplarisch erläutert. In der Zeichnung zeigt:

• 1 eine schematische Draufsicht auf ein Kraftfahrzeug mit einem Ausführungsbeispiel eines erfindungsgemäßen Ethernet-Bordnetzes;
• 2 eine schematische Darstellung des Ethernet-Bordnetzes mit einer ersten Steuereinheit, einer zweiten Steuereinheit und einer dritten Steuereinheit, welche mit einem ersten Verbindungsweg, einem zweiten Verbindungsweg und einem dritten Verbindungsweg verbunden sind;
• 3 ein Ablaufdiagramm zur Verschlüsselung der Zeitsynchronisationsnachrichten der Bestimmung einer Art eines Übertragungsmediums des jeweiligen Verbindungswegs;
• 4 Darstellung des Link-Delay zweier verbundener Steuergeräte und Messung der Nachrichtenfrequenz;
• 5 ein Ablaufdiagramm, bei dem immer wieder neue Schlüssel generiert werden;
• 6 ein Ablaufdiagramm zur Messung der Verzögerung, die den ersten Parameter für den Schlüssel bildet;
• 7 ein Ablaufdiagramm zur Bestimmung der individuellen Quarzfrequenz, die den zweiten Parameter für den Schlüssel bildet;
• 8 ein Ablaufdiagramm zur Berechnung des Schlüssels und zur Versendung der Nachrichten;
• 9 ein Ablaufdiagramm zur zeitlichen Verwendung eines Schlüssels;
• 10 ein Ablaufdiagramm zur Bestimmung einer Art eines Übertragungsmediums des jeweiligen Verbindungswegs;
• 11 ein Ablaufdiagramm zur Anpassung eines Programms im Ethernet -Bordnetz;
• 12 ein Ablaufdiagramm zur Bestimmung und Speicherung einer Laufzeit eines Signals;
• 13 ein Ablaufdiagramm zur Erstellung einer Referenzwertliste von Laufzeiten;
• 14 ein Ablaufdiagramm zur beispielhaften Anpassung eines Programms im Ethernet-Bordnetz;
• 15 Verschlüsselte Links mit dem erzeugten dynamischen Schlüssel aus der Kommunikation der Steuereinheiten;
• 16 Aufbau einer Steuereinheit;
• 17 ein Ablauf zur Dekodierung.

In the following, the invention is explained by way of example with reference to the drawing. In the drawing shows:

• 1 a schematic plan view of a motor vehicle with an embodiment of an Ethernet on-board network according to the invention;
• 2 a schematic representation of the Ethernet on-board network with a first control unit, a second control unit and a third control unit, which are connected to a first connection path, a second connection path and a third connection path;
• 3 a flowchart for the encryption of the time synchronization messages of the determination of a type of transmission medium of the respective connection path;
• 4th Representation of the link delay of two connected control units and measurement of the message frequency;
• 5 a flowchart in which new keys are generated over and over again;
• 6th a flow chart for measuring the delay, which forms the first parameter for the key;
• 7th a flowchart for determining the individual crystal frequency, which forms the second parameter for the key;
• 8th a flowchart for calculating the key and sending the messages;
• 9 a flow chart for the temporal use of a key;
• 10 a flowchart for determining a type of transmission medium of the respective connection path;
• 11 a flowchart for adapting a program in the Ethernet on-board network;
• 12th a flow chart for determining and storing a transit time of a signal;
• 13th a flowchart for creating a reference value list of transit times;
• 14th a flowchart for exemplary adaptation of a program in the Ethernet on-board network;
• 15th Encrypted links with the generated dynamic key from the communication of the control units;
• 16 Structure of a control unit;
• 17th a decoding process.

Gleiche oder ähnliche Elemente können in den Figuren mit denselben Bezugszeichen referenziert sein.Identical or similar elements can be referenced in the figures with the same reference symbols.

Beschreibung von AusführungsbeispielenDescription of exemplary embodiments

1 zeigt ein Kraftfahrzeug1 in Draufsicht. Das Kraftfahrzeug1 weist ein Ethernet-Bordnetz2 auf. Das Ethernet-Bordnetz2 wiederum weist gemäß dem Ausführungsbeispiel eine Mehrzahl von Steuereinheiten3,4,5, welche auch als Steuereinrichtungen oder Steuergeräte bezeichnet werden können. Die Steuereinheiten sind dabei mit Verbindungswegen untereinander verbunden. Aufgrund der vorhandenen Topologie des Ethernet-Bordnetzes2 im Ausführungsbeispiel gibt es mehrere parallele Kommunikationswege zwischen den Steuereinheiten. Die Verbindungswege können beispielsweise aus unterschiedlichen Medientypen bzw. Materialien ausgebildet sein.1 shows amotor vehicle 1 in plan view. Thecar 1 has an Ethernet on-board network 2 on. The on-board ethernet network 2 in turn, according to the exemplary embodiment, has a plurality ofcontrol units 3 , 4th , 5 , which can also be referred to as control devices or control devices. The control units are connected to one another with connection paths. Due to the existing topology of the Ethernet on-board network 2 in the exemplary embodiment there are several parallel communication paths between the control units. The connection paths can be formed from different media types or materials, for example.

Mit Zunahme der Anzahl an Ethernet-Varianten wird beispielsweise auch die dynamische Änderung der Verbindungsgeschwindigkeit Einsatz finden. Das bedeutet beispielsweise, dass zur Laufzeit die Geschwindigkeit geändert werden kann. Beispielsweise kann ein 10 Gbit/s Verbindungsweg auf 100 Mbit/s geändert werden, damit Energie gespart wird. Da es sich dabei um eine dynamische Funktion handelt, kann es sein, dass das Bordnetz nach Auslieferung oder nach Erstmontage im Kraftfahrzeug anders ausgebildet ist als etwa nach einer Softwareaktualisierung oder in einer Fehlsituation.As the number of Ethernet variants increases, the dynamic change in connection speed will also be used, for example. This means, for example, that the speed can be changed at runtime. For example, a 10 Gbit / s connection path can be changed to 100 Mbit / s to save energy. Since this is a dynamic function it may be that the on-board network is designed differently after delivery or after initial assembly in the motor vehicle than, for example, after a software update or in an incorrect situation.

Das Ethernet-Bordnetz2 weist eine mindestens eine erste Steuereinheit3, eine zweite Steuereinheit4 und zusätzlich eine dritte Steuereinheit5 auf. Die erste Steuereinheit3 ist durch einen ersten Verbindungsweg6 mit der zweiten Steuereinheit4 verbunden. Weiterhin ist die erste Steuereinheit3 gemäß dem Ausführungsbeispiel auch durch einen zweiten Verbindungsweg7 mit der zweiten Steuereinheit4 verbunden.The on-board ethernet network 2 has at least onefirst control unit 3 , a second control unit 4th and additionally athird control unit 5 on. Thefirst control unit 3 is through a first connection path 6th with the second control unit 4th tied together. Furthermore is thefirst control unit 3 according to the embodiment also by a second connection path 7th with the second control unit 4th tied together.

Die erste Steuereinheit3, die zweite Steuereinheit4 und/oder die dritte Steuereinheit5 können beispielsweise als Steuergerät oder Netzwerkweiche ausgebildet sein. Die zweite Steuereinheit4 und die dritte Steuereinheit5 sind durch einen dritten Verbindungsweg8 miteinander verbunden.Thefirst control unit 3 , the second control unit 4th and / or thethird control unit 5 can for example be designed as a control unit or network switch. The second control unit 4th and thethird control unit 5 are through a third connection path 8th connected with each other.

Gemäß dem Ausführungsbeispiel von1 sind die erste Steuereinheit3 und die zweite Steuereinheit4 direkt über den ersten Verbindungsweg6 miteinander verbunden während die erste Steuereinheit3 und die zweite Steuereinheit4 mit dem zweiten Verbindungsweg7 nur indirekt verbunden sind, da der zweite Verbindungsweg7 durch eine weitere Steuereinheit in zwei Teile geteilt ist. Gemäß einem anderen Ausführungsbeispiel kann der zweite Verbindungsweg7 die erste Steuereinheit3 und die zweite Steuereinheit4 aber auch direkt miteinander verbinden.According to the embodiment of 1 are thefirst control unit 3 and the second control unit 4th directly via the first connection path 6th interconnected while thefirst control unit 3 and the second control unit 4th with the second connection path 7th are only indirectly connected, as the second connection path 7th is divided into two parts by another control unit. According to another exemplary embodiment, the second connection path 7th thefirst control unit 3 and the second control unit 4th but also connect directly to each other.

2 zeigt ein weiteres Ausführungsbeispiel des Ethernet-Bordnetzes2. Das Ethernet-Bordnetz2 weist die erste Steuereinheit3, die zweite Steuereinheit4 und die dritte Steuereinheit5 auf. Weiterhin weist das Ethernet-Bordnetz2 auch den ersten Verbindungsweg6, den zweiten Verbindungsweg7 und den dritten Verbindungsweg8 auf. Gemäß dem Ausführungsbeispiel wird eine Laufzeit9 eines ersten Signals10 auf dem ersten Verbindungsweg6 bestimmt. Durch die Laufzeit9 wird beschrieben, wie lange das erste Signal10 über den ersten Verbindungsweg6 von der ersten Steuereinheit3 zur zweiten Steuereinheit4 oder umgekehrt unterwegs ist. Anhand der Laufzeit9 des ersten Signals10 wird eine Maximalgeschwindigkeit11 des ersten Verbindungswegs6 bestimmt. Die Maximalgeschwindigkeit11 des ersten Verbindungswegs6 variiert dabei beispielsweise je nach Länge des Kabels, der Geschwindigkeit der Übertragung und/oder des Medientyps bzw. der Art des Übertragungsmediums. Anhand der Maximalgeschwindigkeit11 wird eine Art eines Übertragungsmediums12 des ersten Verbindungswegs6 bestimmt.2 shows a further embodiment of the Ethernet on-board network 2 . The on-board ethernet network 2 instructs thefirst control unit 3 , the second control unit 4th and thethird control unit 5 on. Furthermore, the Ethernet on-board network 2 also the first connection route 6th , the second connection path 7th and the third connection path 8th on. According to the exemplary embodiment, a runningtime 9 of afirst signal 10 on the first connection route 6th certainly. Through theterm 9 describes how long the first signal lasts 10 via the first connection path 6th from thefirst control unit 3 to the second control unit 4th or vice versa. Based on theterm 9 of thefirst signal 10 becomes amaximum speed 11 of the first connection path 6th certainly. Themaximum speed 11 of the first connection path 6th varies, for example, depending on the length of the cable, the speed of transmission and / or the type of media or the type of transmission medium. Based on themaximum speed 11 becomes a kind of transmission medium 12th of the first connection path 6th certainly.

Gemäß dem Ausführungsbeispiel wird die Art des Übertragungsmediums12 als optisch, Kupfer oder drahtlos bestimmt. Bei optisch ist der erste Verbindungsweg6 beispielsweise als Glasfaserverbindung ausgebildet. Bei Kupfer ist der erste Verbindungsweg beispielsweise durch Kabel mit verdrillten Adernpaaren, beispielsweise ein Kabel mit verdrillten Adernpaaren ohne Schirm (UTP - Unshielded Twisted Pair), ausgebildet. Bei drahtlos ist der erste Verbindungsweg6 im Wesentlichen als Funkstrecke ausgebildet und die erste Steuereinheit3 und/oder die zweite Steuereinheit4 weisen einen Funkempfänger und/oder Funksender auf bzw. sind damit verbunden.According to the embodiment, the type of transmission medium 12th intended as optical, copper or wireless. The first connection path is optically 6th for example designed as a fiber optic connection. In the case of copper, the first connection path is formed, for example, by cables with twisted wire pairs, for example a cable with twisted wire pairs without a shield (UTP - Unshielded Twisted Pair). In the case of wireless, the first connection path is 6th essentially designed as a radio link and thefirst control unit 3 and / or the second control unit 4th have a radio receiver and / or radio transmitter or are connected to them.

In Verbindung mit der in3 angegebenem Ablauf mittelt die Steuereinheiten3 eine Laufzeit für die Datenübermittlung über das Bordnetzwerk zur Steuereinheiten4. Wichtig ist, dass die Ermittlung der Laufzeit in irgendeiner Form auf der Basis einer tatsächlichen physischen Gegebenheit des Übertragungsweges von dem ersten Steuereinheiten3 zur Steuereinheit4 erfolgt, d.h., dass es eine physische Gegebenheit oder Eigenschaft des Übertragungsweges gibt, deren Änderung zu einer Änderung der ermittelten Laufzeit führt.In connection with the in 3 the specified sequence averages the control units 3 a runtime for the data transmission via the on-board network to the control units 4th . It is important that the runtime is determined in some form on the basis of an actual physical condition of the transmission path from thefirst control units 3 to the control unit 4th takes place, ie that there is a physical condition or property of the transmission path, the change of which leads to a change in the determined transit time.

Bei diesem vorgestellten Verfahren ermittelt die eine Steuereinheit3 eine Laufzeit für die Datenübermittlung über das Netzwerk zur Steuereinheit4. Dies kann auf beliebige Weise geschehen. Beispielsweise kann die Laufzeit im Zuge einer Zeitsynchronisation zwischen dem ersten Teilnehmer und dem zweiten Teilnehmer, etwa nach dem Zeitsynchronisationsstandard IEEE 802.1 AS und dem darin enthaltenen PTP-Protokoll, erfolgen. So können etwa die im Rahmen dieses Protokolls implementierten „Delay Request“- und „Peer Delay“-Nachrichten als Datenpakete verwendet werden, wie in3 angegeben. Das Verfahren ist jedoch hierauf nicht beschränkt. Wichtig ist nur, dass die Ermittlung der Laufzeit in irgendeiner Form auf der Basis einer tatsächlichen physischen Gegebenheit des Übertragungsweges von dem ersten Teilnehmer/Steuereinheit3 zum zweiten Teilnehmer/Steuereinheit4 erfolgt, d. h., dass es eine physische Gegebenheit oder Eigenschaft des Übertragungsweges gibt, deren Änderung zu einer Änderung der ermittelten Laufzeit führt.In this presented method, the one control unit determines 3 a runtime for the data transmission over the network to the control unit 4th . This can be done in any way. For example, the runtime can take place in the course of a time synchronization between the first participant and the second participant, for example according to the time synchronization standard IEEE 802.1 AS and the PTP protocol contained therein. For example, the “Delay Request” and “Peer Delay” messages implemented as part of this protocol can be used as data packets, as in 3 specified. However, the method is not limited to this. It is only important that the determination of the transit time in some form on the basis of an actual physical condition of the transmission path from the first subscriber /control unit 3 to the second participant / control unit 4th takes place, ie that there is a physical condition or property of the transmission path, the change of which leads to a change in the determined transit time.

Weiterhin ermittelt die erste Steuereinheit3 die Nachrichtenfrequenz, die sich im Prinzip aus der Geschwindigkeit von PLL und Quarz ableitet, der gegenüberliegenden Steuereinheit4. Aus diesen beiden Werten, welche sich ständig verändern auf Grund von Temperatur, Alterung usw. leitet die Steuereinheit3 einen Schlüssel zur Verschlüsselung dieser Zeitnachrichten ab.The first control unit also determines 3 the message frequency, which is derived in principle from the speed of the PLL and crystal, of the opposite control unit 4th . The control unit derives from these two values, which are constantly changing due to temperature, aging, etc. 3 a key to encrypt these time messages.

Die Zeitsynchronisationsnachrichten werden mit dem erzeugten dynamischen Schlüssel verschlüsselt, welcher sich generell ausgedrückt aus individuellen Parametern zum Verbindungspartner ableiten lässt.The time synchronization messages are encrypted with the generated dynamic key, which can generally be derived from individual parameters for the connection partner.

Auf Basis der Leitungsverzögerung221 und der Nachrichtenfrequenz213 wird ein individueller und sich ständig veränderter Schlüssel generiert. Dieser Schlüssel ist einmalig pro Zeiteinheit und auch pro Link unterschiedlich. Durch diesen Ansatz gibt es keinen Schlüssel zweimal im Netzwerk, wie in15 dargestellt. Durch die Generierung der Schlüssel aus der Kombination von Punkt-zu-Punkt-Leitungsverzögerung und der Frequenz des Quarzes wird der Schlüssel besonders resistent gegen Umgehungsversuche, da sich zum einen der Schlüssel ständig verändert und zum anderen auf jedem Link im Fahrzeugnetzwerk unterschiedlich sein wird.Based on theline delay 221 and themessage frequency 213 an individual and constantly changing key is generated. This key is unique per time unit and also different per link. With this approach, there is no key twice in the network, as in 15th shown. By generating the key from the combination of point-to-point line delay and the frequency of the quartz, the key is particularly resistant to attempts to circumvent it, because on the one hand the key is constantly changing and on the other hand it will be different on every link in the vehicle network.

Die beiden Werten können entweder direkt in Kombination verwendet werden oder noch um andere statische Werte, welche beiden Steuergeräten bekannt sein müssen wie bspw. die Adresse, erweitert werden um die Schlüssel zu generieren.The two values can either be used directly in combination or can be expanded to include other static values that both control units must know, such as the address, in order to generate the key.

Die jeweilige Steuereinheit, wobei das Verfahren auf beide Steuereinheiten, bzw. Teilnehmer/Linkpartner ausführbar sind, ermittelt daraus einen Zufallswert um den individuellen und nur kurzfristig geltenden Schlüssel für die Verschlüsselung zu erhalten. Wie in3 dargestellt verändert sich der Schlüssel immer wieder, basierend auf den voran gegangenen Messungen, welche keinen Zusatzaufwand darstellen, da diese zur Zeitsynchronisation benutzt werden.The respective control unit, with the method being executable on both control units or subscribers / link partners, uses this to determine a random value in order to obtain the individual and only short-term valid key for the encryption. As in 3 shown, the key changes again and again, based on the previous measurements, which do not represent any additional effort, as these are used for time synchronization.

Die Art des Übertragungsmediums12 wird einem Programm13 im Ethernet-Bordnetz2 mitgeteilt. Das Programm13 kann beispielsweise in der ersten Steuereinheit3, der zweiten Steuereinheit4 oder der dritten Steuereinheit5 oder einer weiteren Steuereinheit des Ethernet-Bordnetzes2 vorhanden sein. Abhängig von der Art des Übertragungsmediums12 wird eine Verbindungswegwahl14 angepasst. So kann das Programm13 beispielsweise durch die Verbindungswegwahl14 Daten über einen anderen Verbindungsweg als vor der Verbindungswegwahl senden. Das Programm13 kann aber beispielsweise auch das Senden von Daten durch die Verbindungswegwahl14 unterbrechen und zu einem späteren Zeitpunkt wieder aufnehmen.The type of transmission medium 12th becomes a program 13th in the on-board Ethernet network 2 communicated. The program 13th can for example in thefirst control unit 3 , the second control unit 4th or thethird control unit 5 or another control unit of the on-board Ethernet network 2 to be available. Depending on the type of transmission medium 12th becomes a connection route choice 14th customized. So can the program 13th for example by choosing the connection route 14th Send data via a different connection route than before the connection route was selected. The program 13th but can also, for example, send data through the connection route selection 14th interrupt and resume at a later time.

Gemäß dem Ausführungsbeispiel wird dem ersten Verbindungsweg6 anhand der Art des Übertragungsmediums12 ein Übertragungssicherheitswert15 zugewiesen.According to the exemplary embodiment, the first connection path 6th based on the type of transmission medium 12th a transmission security value 15th assigned.

Durch den Übertragungssicherheitswert wird eine Verlustwahrscheinlichkeit von über den Verbindungsweg übertragenen Daten beschrieben. Der Übertragungssicherheitswert15 lässt also eine Aussage zu, wie zuverlässig die Daten über den ersten Verbindungsweg übertragen werden können. Dies wird der Entropiequelle200 zugeführt. Ist beispielsweise ein Sicherheitsgrenzwert unterschritten und die Daten können nur unsicher übertragen werden, so ist damit zu rechnen, dass die Daten verzögert ihr Ziel erreichen oder aber, falls sich ein nochmaliges Senden aufgrund der benötigten Aktualität der Daten nicht lohnt, gar nicht ihr Ziel erreichen.The transmission security value describes a probability of loss of data transmitted via the connection path. The transmission security value 15th thus allows a statement to be made as to how reliably the data can be transmitted over the first connection path. This becomes the source ofentropy 200 fed. If, for example, a security limit value is not reached and the data can only be transmitted insecurely, it is to be expected that the data will reach their destination with a delay or, if it is not worth sending again due to the required topicality of the data, not at all.

Gemäß einem weiteren Ausführungsbeispiel werden Laufzeiten von einer Mehrzahl von Signalen auf dem ersten Verbindungsweg6 bestimmt und die schnellste Laufzeit der Mehrzahl der Signale wird ausgewählt. Die Maximalgeschwindigkeit11 des ersten Verbindungswegs6 wird dann anhand der schnellsten Laufzeit bestimmt.According to a further exemplary embodiment, delay times of a plurality of signals are on the first connection path 6th is determined and the fastest transit time of the majority of the signals is selected. Themaximum speed 11 of the first connection path 6th is then determined based on the fastest running time.

Eine Steuereinheit startet die Verzögerungsmessung und wartet auf dem Empfang der Linkpartner Nachrichten. Auf Basis des Empfangs der Nachrichten am Beispiel PTP kann die Leitungsverzögerung gemessen werden gemäß der6. Wenn der eine Linkpartner die Verzögerungsmessung startet, dann bekommt dies der andere Linkpartner zwangsläufig mit und soll ebenfalls eine Messung starten damit diese beiden Messungen auch einen zusammengehörigen Messwert generieren können, wie in3 angegeben.A control unit starts the delay measurement and waits for the link partner messages to be received. Based on the receipt of the messages using the PTP example, the line delay can be measured according to the 6th . If one link partner starts the delay measurement, the other link partner will inevitably notice this and should also start a measurement so that these two measurements can also generate a related measured value, as in 3 specified.

Zur Erläuterung wird hier das Vorgehen am Beispiel von PTP angegeben. PTP definiert drei Mechanismen: Messung der Leitungsverzögerung zwischen Nachbarknoten, Bestimmung der besten Uhr und den Austausch von Zeitinformationen. Der Peer Delay-Mechanismus hat die Aufgabe, die Verzögerung zwischen zwei verbundenen Ports zu messen. Die gemessene Laufzeit wird genutzt, um die Zeitinformationen der Knoten zu korrigieren und diese Zeit mit einzurechnen. Delay_Request-Nachrichten werden zyklisch von beiden Kommunikationspartnern unabhängig voneinander versendet. Ist der jeweilige Knoten IEEE 802.1AS fähig, so wird dieser mit einer Delay_Response- und einer Pdelay_Resp_Follow_Up-Nachricht antworten. Diese Nachrichten werden beim Eingang mit einem Hardwarezeitstempel versehen und an die PTP-Anwendung weitergeleitet. Dadurch lässt sich die Latenz und die zeitliche Differenz zum benachbarten Port bestimmen. Ein Port, der Initiator, startet die Messung, indem er eine Delay_Request-Nachricht an den mit ihm verbundenen Port, den Responder sendet und einen Ausgangszeitstempelt1 generiert. Dieser Ausgangszeitstempel bezeichnet einen Hardware-Zeitstempel, der so spät wie möglich beim Verlassen des Ethernet-Transceivers geschrieben wird. Der Responder generiert beim Eintreffen dieses Paketes einen Zeitstempel t2. Als Antwort sendet der Responder eine Delay_Response-Nachricht. In dieser Nachricht überträgt er den Empfangs-Zeitstempel t2 der Delay_Request-Nachricht. Verlässt diese Nachricht den Responder, so erzeugt dieser wiederum einen Zeitstempel t3, welcher in einer unmittelbar darauffolgenden Delay_Response_Follow-Up-Nachricht versendet wird. Beim Empfang der Delay_Response-Nachricht beim Initiator generiert dieser einen Zeitstempel t4. Der Initiator kann aus den vier Zeitstempeln t1 bis t4 die durchschnittliche Laufzeit der zurückgelegten Strecken errechnen.For explanation, the procedure is given here using the example of PTP. PTP defines three mechanisms: measuring the line delay between neighboring nodes, determining the best clock and exchanging time information. The job of the peer delay mechanism is to measure the delay between two connected ports. The measured runtime is used to correct the time information of the nodes and to include this time in the calculation. Delay_Request messages are sent cyclically by both communication partners independently of one another. If the respective node is IEEE 802.1AS capable, it will respond with a Delay_Response and a Pdelay_Resp_Follow_Up message. These messages are provided with a hardware time stamp on receipt and forwarded to the PTP application. This allows the latency and the time difference to the neighboring port to be determined. One port, the initiator, starts the measurement by sending a Delay_Request message to the port connected to it, the responder, and generating an output time stamp1. This output time stamp describes a hardware time stamp that is written as late as possible when the Ethernet transceiver is exited. When this packet arrives, the responder generates a time stamp t2. In response, the responder sends a delay_ Response message. In this message it transmits the receive time stamp t2 of the Delay_Request message. If this message leaves the responder, it in turn generates a time stamp t3, which is sent in an immediately following Delay_Response_Follow-Up message. When the initiator receives the Delay_Response message, the initiator generates a time stamp t4. The initiator can use the four time stamps t1 to t4 to calculate the average running time of the distances covered.

PTP definiert eine Master-/Slave-Uhrenhierarchie mit einer besten Uhr innerhalb eines AVB-Netzwerkes. Von dieser Uhr, dem Grandmaster, leitet sich die Zeitbasis der in diesem Netzwerk befindlichen Knoten ab. Der Best Master Clock Algorithmus (BMCA) dient zur Bestimmung dieses Uhrentyps und der Bekanntmachung dieser Information im Netzwerk. IEEE 802.1AS-fähige Systeme senden zyklisch Announce-Nachrichten zu ihren Nachbarknoten mit Informationen zur besten Uhr der AVB-Wolke. Der Empfänger einer solchen Nachricht vergleicht diese Informationen mit den Merkmalen seiner Uhr und den evtl. bereits von einem anderen Port empfangenen Nachrichten. Auf Basis dieser Nachrichten wird ein Zeitsychronisationsspannbaum aufgestellt. Jedem Port wird in diesem Zuge einer von vier Port-Zuständen zugewiesen. Den Zustand Master Port bekommt der Port, der einen kürzeren Weg zum Grandmaster hat als sein Linkpartner. Der Zustand Slave wird dann zugeordnet, wenn an diesem Knoten noch kein anderer Port diesen Zustand besitzt. Disabled wählt derjenige Port, welcher dass PTP-Protokoll nicht vollständig unterstützen kann. Der Zustand passiv wird gewählt, wenn keiner der anderen drei Zustände zutrifft.PTP defines a master / slave clock hierarchy with the best clock within an AVB network. The time base of the nodes in this network is derived from this clock, the grandmaster. The Best Master Clock Algorithm (BMCA) is used to determine this type of clock and to make this information known in the network. IEEE 802.1AS-capable systems cyclically send announce messages to their neighboring nodes with information about the best clock in the AVB cloud. The recipient of such a message compares this information with the characteristics of his watch and any messages already received from another port. A time synchronization spanning tree is set up on the basis of these messages. In this process, each port is assigned one of four port states. The port that has a shorter route to the grandmaster than its link partner receives the status Master Port. The slave status is assigned if no other port on this node has this status yet. Disabled selects the port which cannot fully support the PTP protocol. The passive state is selected if none of the other three states apply.

Der Austausch der Zeitinformation wird schließlich durch den Sync_Follow_Up-Mechanismus durchgeführt. Die Master Ports senden zyklisch Sync- und Follow_Up-Nachrichten an den benachbarten Linkpartner. Wenn die Sync-Nachricht den Master Port verlässt, wird ein Zeitstempel generiert, welcher unmittelbar in einer darauffolgenden Follow_Up-Nachricht übertragen wird. Dieser Zeitstempel entspricht der aktuellen Uhrzeit des Grandmaster zum Sendezeitpunkt der Sync-Nachricht. Die vom Grandmaster ausgehenden Nachrichten werden nicht weitergeleitet, sondern in jedem Knoten, auch den Switchen, neu erstellt. Dann startet die Messung zur Feststellung der individuellen Quarzfrequenz, abgeleitet aus der Nachrichtenfrequenz. Auf Basis des Empfangs der Nachrichten am Beispiel PTP kann die Frequenz berechnet werden, wie es in der3 angedeutet. Es ist nicht immer sichtbar das der Linkpartner auch zeitgleich die Frequenz misst, weshalb die Frequenzmessung stetig durchgeführt werden sollte.The time information is then exchanged using the Sync_Follow_Up mechanism. The master ports cyclically send sync and follow_up messages to the neighboring link partner. When the sync message leaves the master port, a time stamp is generated, which is transmitted immediately in a subsequent Follow_Up message. This time stamp corresponds to the current time of the grandmaster when the sync message was sent. The outgoing messages from the grandmaster are not forwarded, but are created anew in each node, including the switches. Then the measurement starts to determine the individual crystal frequency, derived from the message frequency. Based on the reception of the messages using the PTP example, the frequency can be calculated as shown in the 3 indicated. It is not always visible that the link partner is also measuring the frequency at the same time, which is why the frequency measurement should be carried out continuously.

Analog zu der vorstehend beschriebenen Vorgehensweise kann auch die Art des Übertragungsmediums12 für den zweiten Verbindungsweg7 und oder den dritten Verbindungsweg8 bestimmt werden. Die jeweiligen aufgenommenen Werte sind unterschiedlich, bleiben jeweils geheim und im Steuergerät abgespeichert und werden zudem nicht über das Netzwerk übertragen - müssen Sie auch nicht. Dass Herausfinden des Schlüssels durch bloßes Probieren ist hinreichend unwahrscheinlich. Unter Berücksichtigung der beiden Werte wird ein individueller Schlüssel generiert. Zum einen ist die Frequenz eines jeden Quarzes unterschiedlich und zum anderen ist die Leitungsverzögerung jedes Links unterschiedlich. Hier werden zwei schwankende Werte addiert und geben einen noch schwerer zu erratenden dritten Wert - den Wert des Schlüssels. Die Leitungsverzögerung kann typischerweise im Bereich von 50-500 Nanosekunden ausfallen und die Frequenz ist ein Parameter und wird in +/- ppm angegeben. Die Leitungsverzögerung hin und rückwärts basiert auf dem gleichen Kanal, weshalb die berechneten Werte auf beiden Seiten des Links gleich sind. Die Parameter müssen deshalb nicht ausgetauscht werden. Die NRR bestimmt das gemessene Verhältnis der Frequenz der LocalClock-Einheit des Timeaware-Systems am anderen Ende der an diesem Port angeschlossenen Verbindung zur Frequenz der LocalClock-Einheit dieses zeitgesteuerten Systems.The type of transmission medium can also be analogous to the procedure described above 12th for the second connection path 7th and or the third connection path 8th to be determined. The respective recorded values are different, remain secret and stored in the control unit and are also not transmitted over the network - you don't have to. It is sufficiently unlikely that the key can be found out simply by trying it out. Taking the two values into account, an individual key is generated. On the one hand, the frequency of each crystal is different and, on the other hand, the line delay of each link is different. Here two fluctuating values are added to give an even harder to guess third value - the value of the key. The line delay can typically be in the range of 50-500 nanoseconds and the frequency is a parameter and is given in +/- ppm. The line delay there and back is based on the same channel, so the calculated values are the same on both sides of the link. The parameters therefore do not have to be exchanged. The NRR determines the measured ratio of the frequency of the LocalClock unit of the time-aware system at the other end of the connection connected to this port to the frequency of the LocalClock unit of this time-controlled system.

Time Awareness System ist hier mit Steuereinheit gleichzusetzen.Time awareness system is to be equated here with control unit.

Die NRR steht auch beiden Partnern zur Verfügung, ohne dass diese ausgetauscht werden muss. Der aussende Knoten weiß genau, wann die Nachricht versendet wurde (Hardwarezeitstempel) und der empfangene Knote weiß mithilfe der voran gegangenen Leitungsvermessung genau, wann diese Nachricht versendet wurde. Somit haben beide Partner nahezu zur gleichen Zeit die gleichen Werte zur Generierung des Schlüssels. Der eine Linkpartner verschlüsselt mithilfe dieser beider Werte entstehend aus der letzten Messung und der andere Linkpartner entschlüsselt mit seinen letzten Werten.The NRR is also available to both partners without having to be exchanged. The sending node knows exactly when the message was sent (hardware time stamp) and the receiving node knows exactly when this message was sent using the previous line measurement. This means that both partners have the same values for generating the key almost at the same time. One link partner encrypts using these two values resulting from the last measurement and the other link partner decrypts with his last values.

So ist es auch vorgesehen, dass eine Laufzeit16 eines zweiten Signals17 auf dem zweiten Verbindungsweg7 bestimmt wird. Es wird dann eine Maximalgeschwindigkeit18 des zweiten Verbindungswegs7 anhand der Laufzeit16 des zweiten Signals17 bestimmt. Anhand der Maximalgeschwindigkeit18 des zweiten Verbindungswegs7 wiederum wird eine Art des Übertragungsmediums19 des zweiten Verbindungswegs7 bestimmt.So it is also provided that a term 16 a second signal 17th on the second connection route 7th is determined. It then becomes a maximum speed 18th of the second connection path 7th based on theterm 16 of the second signal 17th certainly. Based on the maximum speed 18th of the second connection path 7th in turn becomes a type of transmission medium 19th of the second connection path 7th certainly.

Es ist vorteilhaft den aktuellen SchlüsselA1 zu verwenden solange keine neue Leitungsmessung durchgeführt wird wie in10 vorgeschlagen. Somit weiß der Linkpartner immer welcher Schlüssel zu verwenden ist, wenn keine neue Leitungsmessung vorher angestoßen wurde. Ein neuer Schlüssel soll/kann entweder zyklisch generiert werden, z. B. vorgegebene Frequenz, nach Bedarf gestartet werden durch einen Trigger oder immer direkt vor dem Senden von wichtigen Nachrichten.It is advantageous to have the current key A1 to be used as long as no new line measurement is carried out as in 10 suggested. This means that the link partner always knows which key to use is to be used if no new line measurement has been initiated beforehand. A new key should / can either be generated cyclically, e.g. B. predetermined frequency, can be started as required by a trigger or always directly before sending important messages.

Sowohl die erste Steuereinheit3 als auch die zweite Steuereinheit4 und auch die dritte Steuereinheit5 können in einem Normalbetriebsmodus oder in einem Energiesparmodus betrieben werden. Im Energiesparmodus verbraucht die jeweilige Steuereinheit weniger Energie als im Normalbetriebsmodus. Es kann beispielsweise im Energiesparmodus die Geschwindigkeit eines Ports der jeweiligen Steuereinheit gegenüber der Geschwindigkeit im Normalbetriebsmodus reduziert werden. Die reduzierte Geschwindigkeit des Ports hat dann auch Auswirkung auf die jeweilige Maximalgeschwindigkeit des jeweiligen Verbindungswegs.Both thefirst control unit 3 as well as the second control unit 4th and also thethird control unit 5 can be operated in a normal operating mode or in an energy-saving mode. In the energy-saving mode, the respective control unit consumes less energy than in the normal operating mode. For example, in the energy-saving mode, the speed of a port of the respective control unit can be reduced compared to the speed in the normal operating mode. The reduced speed of the port then also has an effect on the respective maximum speed of the respective connection path.

Gemäß einem weiteren Ausführungsbeispiel kann von der ersten Steuereinheit3 eine Dienstnachricht20 an die dritte Steuereinheit8 gesendet werden. Durch die Dienstnachricht20 wird dann die Bestimmung einer Laufzeit21 eines dritten Signals22 ausgelöst. Das dritte Signal22 wird zwischen der zweiten Steuereinheit4 und der dritten Steuereinheit5 gesendet. Die Laufzeit21 des dritten Signals22 wird gemäß dem Ausführungsbeispiel durch die dritte Steuereinheit5 bestimmt.According to a further exemplary embodiment, the first control unit 3 a service message 20th to the third control unit 8th be sent. Through the service message 20th is then determining a term 21 a third signal 22nd triggered. The third signal 22nd is between the second control unit 4th and thethird control unit 5 sent. theperiod 21 of the third signal 22nd is according to the embodiment by thethird control unit 5 certainly.

7 beschreibt allgemein das Verfahren zur Laufzeitbestimmung. In einem Schritt S1 wird die Laufzeit9 des ersten Signals10 bestimmt. In einem Schritt S2 wird die Art des Übertragungsmediums12 bestimmt. In einem Schritt S3 wird schließlich das Programm13 angepasst.7th describes in general the procedure for determining the running time. In a step S1, the runningtime 9 of thefirst signal 10 certainly. In a step S2, the type of transmission medium 12th certainly. Finally, in a step S3, the program 13th customized.

8 zeigt ein Ablaufdiagramm zur Berechnung der jeweiligen Parameter bzw. der jeweiligen Parameter, welche der Art des Übertragungsmediums12 zugewiesen sind. In einem Schritt S4 wird die Laufzeit9 des ersten Signals10 bestimmt. Dadurch kann in einem Schritt S5 die Art des Übertragungsmediums12 bestimmt werden. Die Art des Übertragungsmediums12 kann wiederum folgende Parameter umfassen: Geschwindigkeit23, Medium24, Kabellänge25, Leistungsübertragung26, Bitfehlerrate27. In einem Schritt S6 folgt dann schließlich die Anpassung des Programms13 und die Verbindungswegwahl14.8th shows a flow chart for calculating the respective parameters or the respective parameters which correspond to the type of transmission medium 12th are assigned. In a step S4, the runningtime 9 of thefirst signal 10 certainly. As a result, in a step S5, the type of transmission medium 12th to be determined. The type of transmission medium 12th can in turn include the following parameters:speed 23 ,Medium 24 , Cable length 25th , Power transmission 26th ,Bit error rate 27 . The program is then adapted in a step S6 13th and the choice of connection route 14th .

Gemäß dem Ausführungsbeispiel wird vorgeschlagen, zwischen verbundenen Steuereinheiten bzw. Controllern die Laufzeit der Signale zu messen. Zum Messen der Laufzeiten9,16 und21 können beispielsweise Methoden des Standards IEEE 1588 oder IEEE 802.1AS genutzt werden. Auch durch TTEthernet (time triggered ethernet) können beispielsweise Methoden bereitgestellt werden um die jeweilige Laufzeit9,16 und21 zu bestimmen.According to the exemplary embodiment, it is proposed to measure the transit time of the signals between connected control units or controllers. To measure the runningtimes 9 , 16 and 21 For example, methods of the IEEE 1588 or IEEE 802.1AS standards can be used. TTEthernet (time triggered ethernet) can also be used, for example, to provide methods for therespective runtime 9 , 16 and 21 to determine.

9 zeigt das Bestimmen der jeweiligen Laufzeit9,16 und21. Es wird eine lokale und eine nicht lokale Abfrage der Laufzeit beschrieben. Das Programm13, welches insbesondere auf mindestens einer Steuereinheit ausgeführt wird, bestimmt vorzugsweise erst mal lokal die lokale Laufzeit oder die Laufzeiten, wenn mehr als eine Steuereinheit direkt verbunden ist. Danach werden vorzugsweise andere Steuereinheiten über ein serviceorientiertes Verfahren, beispielsweise SOME/IP (Scalable Service-Oriented Middleware over IP) deren Laufzeit zu dem Nachbarn abgefragt. Dies kann entweder zentral oder dezentral umgesetzt werden. Die Abfrage kann entweder einmal, bei Systemstart, Definition oder nach Softwareupdate durchgeführt werden oder aber zyklisch ausgeführt werden um dynamische Änderungen zu erkennen. Diese Daten werden dann, insbesondere inklusive der Adressen der Steuereinheiten beim ersten Mal gespeichert und zugeordnet.9 shows the determination of therespective running time 9 , 16 and 21 . A local and a non-local query of the runtime is described. The program 13th , which is carried out in particular on at least one control unit, preferably first locally determines the local runtime or the runtimes if more than one control unit is connected directly. Thereafter, other control units are preferably queried via a service-oriented method, for example SOME / IP (Scalable Service-Oriented Middleware over IP), their running time to the neighbor. This can be implemented either centrally or decentrally. The query can either be carried out once, at system start, definition or after a software update, or it can be carried out cyclically in order to detect dynamic changes. This data is then stored and assigned the first time, in particular including the addresses of the control units.

In einem Schritt S7 wird die jeweilige Laufzeit zu den direkt verbundenen Steuereinheiten bestimmt. In einem Schritt S8 werden die jeweiligen Laufzeiten von anderen Verbindungswegen abgefragt. In einem Schritt S9 werden die jeweiligen Laufzeiten und deren zugehörige Verbindungspartner gespeichert.In a step S7, the respective running time to the directly connected control units is determined. In a step S8, the respective transit times are queried from other connection paths. In a step S9, the respective transit times and their associated connection partners are stored.

10 zeigt ein weiteres Verfahren um auf Basis einer Referenzmessung die anderen Geschwindigkeiten abzuleiten. Wenn beispielsweise die aktuelle Temperatur sehr hoch ist oder schlechte Kabel verwendet werden, dann können vorgespeicherte Werte eventuell zu ungenau sein. Daher wird vorgeschlagen, dass die Anwendung bzw. das Programm13 an ihrer eigenen Steuereinheit selber Messungen durchführt, insbesondere unter Kenntnis der eigenen Parameter, und anderen Geschwindigkeiten, welche dann daraus abgeleitet und berechnet werden können.10 shows another method to derive the other speeds on the basis of a reference measurement. For example, if the current temperature is very high or bad cables are used, then the pre-stored values may be too imprecise. It is therefore suggested that the application or program 13th carries out measurements on its own control unit itself, in particular with knowledge of its own parameters, and other speeds, which can then be derived and calculated therefrom.

In einem Schritt S10 wird eine Analyse pro lokalem Ethernet-Port durchgeführt. In einem Schritt S11 wird abgefragt, ob Kanalparameter bekannt sind. Ist dies nicht der Fall, so folgt ein Schritt S12 und das Verfahren ist beendet. Ist dies der Fall so folgt ein Schritt S13, in welchem die jeweilige Laufzeit9,16 und21 bestimmt wird. In einem Schritt S14 erfolgt die Speicherung und die bestimmte Laufzeit wird in Bezug zu den Kanalparametern gesetzt. In einem Schritt S15 wird eine Referenzwertliste erstellt.In a step S10, an analysis is carried out for each local Ethernet port. In a step S11 it is queried whether channel parameters are known. If this is not the case, a step S12 follows and the method is ended. If this is the case, a step S13 follows, in which therespective running time 9 , 16 and 21 is determined. The storage takes place in a step S14 and the specific transit time is set in relation to the channel parameters. A reference value list is created in a step S15.

13 zeigt eine mögliche Optimierung durch Wissen über die Art des Übertragungsmediums12,19. In einem Schritt S16 wird entschieden, ob die Art des Übertragungsmediums12,19 Kupfer ist. Ist dies der Fall, so folgt ein Schritt S17, bei welchem bestätigt wird, dass PoDL (Power over Data Lines), also die Stromversorgung über Ethernet möglich ist. Wird im Schritt S16 entschieden, dass das Medium nicht Kupfer ist, so folgt ein Schritt S18. Im Schritt S18 wird überprüft, ob die Art des Übertragungsmediums12 optisch ist. Ist dies der Fall, so folgt ein Schritt S19. Im Schritt S19 wird festgestellt, dass dadurch eine geringere Bitfehlerrate vorliegt und dadurch eine höhere Zuverlässigkeit dieses Verbindungswegs vorliegt. In einem Schritt S20 wird die Möglichkeit gegeben RX (Empfangseinheit) oder TX (Sendeeinheit) der Steuereinheit3,4,5 zu deaktivieren, falls dies nicht benötigt ist.13th shows a possible optimization through knowledge of the type of transmission medium 12th , 19th . In a step S16, it is decided whether the type of transmission medium 12th , 19th Copper is. If this is the case, then a step S17 follows, in which it is confirmed that PoDL (Power over Data Lines), i.e. power supply via Ethernet, is possible. If it is decided in step S16 that the medium is not copper, a step S18 follows. In step S18 it is checked whether the type of transmission medium 12th is optical. If this is the case, a step S19 follows. In step S19 it is determined that this results in a lower bit error rate and this results in a higher reliability of this connection path. In a step S20, the possibility of RX (receiving unit) or TX (transmitting unit) is given to thecontrol unit 3 , 4th , 5 to deactivate, if this is not required.

Wird im Schritt S18 entschieden, dass das Medium bzw. die Art des Übertragungsmediums12 nicht optisch sind, so wird in einem Schritt S21 davon ausgegangen, dass der jeweilige Verbindungsweg als der betreffende Verbindungsweg als direkte MII-Verbindung (Media Independent Interface) ausgebildet ist. In diesem Fall eignet sich die jeweilige Steuereinheit beispielsweise für IEEE P802.1 CB (Frame Replication and Elimination for Redundancy).If it is decided in step S18 that the medium or the type of transmission medium 12th are not optical, it is assumed in a step S21 that the respective connection path is designed as the relevant connection path as a direct MII connection (Media Independent Interface). In this case, the respective control unit is suitable, for example, for IEEE P802.1 CB (Frame Replication and Elimination for Redundancy).

Weitere Möglichkeiten ergeben sich aus dem Wissen über die Übertragungsgeschwindigkeit. Kombiniert mit den aktuellen Datenströmen können beispielsweise Daten gezielt über eine hochbandbreitige Verbindung übertragen werden und somit andere, nicht benötigte Verbindungswege deaktiviert werden, wodurch Energie gespart werden kann.Further possibilities arise from knowledge of the transmission speed. Combined with the current data streams, for example, data can be transmitted in a targeted manner over a high-bandwidth connection, thus deactivating other, unneeded connection paths, which saves energy.

Außerdem besteht bei hochbandbreitigen Verbindungen die Möglichkeit, Redundanzmechanismen (z.B. IEEE 802.1 CB) zu verwenden. Da die Daten hierbei kontinuierlich redundant übertragen werden, ist dafür eine hohe Bandbreite notwendig. Denkbar ist auch eine Anpassung der Anwendung je nach Geschwindigkeit des Übertragungswegs. Eine Kamera kann beispielsweise je nach Geschwindigkeit des Links bzw. des Verbindungswegs6,7,8 die Auflösung der zu übertragenden Bilddaten anpassenWith high-bandwidth connections, there is also the option of using redundancy mechanisms (e.g. IEEE 802.1 CB). Since the data is continuously transmitted redundantly, a high bandwidth is required for this. It is also conceivable to adapt the application depending on the speed of the transmission path. A camera can, for example, depending on the speed of the link or the connection path 6th , 7th , 8th adjust the resolution of the image data to be transmitted

Die Steuereinheit3,4,5 umfasst neben einem Mikroprozessor402 flüchtigen und nichtflüchtigen Speicher404,406, zwei Kommunikationsschnittstellen408, sowie einen synchronisierbaren Zeitgeber410. Die Elemente des Netzwerkgeräts sind über eine oder mehrere Datenverbindungen oder -busse 412 kommunikativ miteinander verbunden. Der nichtflüchtige Speicher406 enthält Programminstruktionen die, wenn sie von dem Mikroprozessor402 ausgeführt werden, zumindest eine Ausgestaltung des erfindungsgemäßen Verfahrens implementieren und die Entropiequelle im flüchtigen und/oder nichtflüchtigen Speicher404,406 gebildet wird, aus der dann die dynamischen Schlüssel28 für die Verbindungswege6 gebildet werden. In17 ist der Dekodierungsablauf des dynamischen Schlüssels bei der Entschlüsselung angegeben.Thecontrol unit 3 , 4th , 5 includes besides amicroprocessor 402 volatile and non-volatile memory 404 , 406 , two communication interfaces 408 , as well as asynchronizable timer 410 . The elements of the network device are communicatively connected to one another via one or more data links orbuses 412. The non-volatile memory 406 contains program instructions which when sent by themicroprocessor 402 are carried out, implement at least one embodiment of the method according to the invention and the entropy source in the volatile and / or non-volatile memory 404 , 406 is formed from which the dynamic key 28 for the connecting routes 6th are formed. In 17th the decoding process of the dynamic key is given during decryption.

BezugszeichenlisteList of reference symbols

11

KraftfahrzeugMotor vehicle

22

Ethernet-BordnetzEthernet on-board network

33rd

erste Steuereinheitfirst control unit

44th

zweite Steuereinheitsecond control unit

55

dritte Steuereinheitthird control unit

66th

erster Verbindungswegfirst connection path

77th

zweiter Verbindungswegsecond connection path

88th

dritter Verbindungswegthird connection path

99

Laufzeit des ersten SignalsDuration of the first signal

1010

erstes Signalfirst signal

1111

Maximalgeschwindigkeit des ersten VerbindungswegsMaximum speed of the first connection path

1212th

Art des Übertragungsmediums des ersten VerbindungswegsType of transmission medium of the first connection path

1313th

Programmprogram

1414th

VerbindungswegwahlConnection route selection

1515th

ÜbertragungssicherheitswertTransmission security value

1616

Laufzeit des zweiten SignalsTransit time of the second signal

1717th

zweites Signalsecond signal

1818th

Maximalgeschwindigkeit des zweiten VerbindungswegsMaximum speed of the second connection path

1919th

Art des Übertragungsmediums des zweiten VerbindungswegsType of transmission medium of the second connection path

2020th

DienstnachrichtService message

2121

Laufzeit des dritten SignalsDuration of the third signal

2222nd

drittes Signalthird signal

2323

Geschwindigkeitspeed

2424

Mediummedium

2525th

KabellängeCable length

2626th

LeistungsübertragungPower transmission

2727

BitfehlerrateBit error rate

2828

dynamischer Schlüsseldynamic key

2929

ZeitsynchronisationsnachrichtTime synchronization message

200200

EntropiequelleSource of entropy

211211

Senden zum Zeitpunkt t1Send at time t1

212212

Empfang zum Zeitpunkt t4Receipt at time t4

213213

Empfang zum Zeitpunkt t4Receipt at time t4

221221

Empfang zum Zeitpunkt t2Reception at time t2

222222

Senden zum Zeitpunkt t3Send at time t3

223223

Verzögertes Senden zum Zeitpunkt t3Delayed sending at time t3

300300

verschlüsselte Nachricht zum Zeitpunkt t5encrypted message at time t5

400400

SteuereinheitControl unit

402402

Mikroprozessormicroprocessor

404404

RAMR.A.M.

406406

ROMROME

408408

KommunikationsschnittstelleCommunication interface

410410

ZeitgeberTimer

412412

Bus / KommunikationsinterfaceBus / communication interface

10011001

Empfang einer verschlüsselten NachrichtReceiving an encrypted message

10021002

Messung der Leitungsverzögerung und Frequenzmessung startenStart measurement of the line delay and frequency measurement

10031003

Anfrage der letzten Leitungsmessung und FrequenzparameterRequest for the last line measurement and frequency parameters

10041004

Generierung des SchlüsselsGeneration of the key

10051005

Entschlüsselung der NachrichtDecryption of the message

A1A1

Berechnung Leitungsverzögerung1 und Berechnung Quarzfrequenz 1Calculation ofline delay 1 and calculation ofcrystal frequency 1

A2A2

Berechnung Leitungsverzögerung2 und Berechnung Quarzfrequenz 2Calculation ofline delay 2 and calculation ofcrystal frequency 2

B1B1

Berechnung Leitungsverzögerung1 und Berechnung Quarzfrequenz 1Calculation ofline delay 1 and calculation ofcrystal frequency 1

B2B2

Berechnung Leitungsverzögerung2 und Berechnung Quarzfrequenz 2Calculation ofline delay 2 and calculation ofcrystal frequency 2

Claims (16)

Translated fromGerman

Verfahren zur Absicherung der Zeitsynchronisation eines Ethernet-Bordnetzes (2) eines Kraftfahrzeugs (1), bei welchem folgende Schritte durchgeführt werden:- Bestimmen einer Laufzeit (9) eines ersten Signals (10) auf einem ersten Verbindungsweg (6) zwischen einer ersten Steuereinheit (3) des Ethernet-Bordnetzes (2) und einer zweiten Steuereinheit (4) des Ethernet-Bordnetzes (2);- Bestimmen einer Maximalgeschwindigkeit (11) des ersten Verbindungswegs (6) anhand der Laufzeit (9); und- Bestimmen einer Art eines Übertragungsmediums (12) des ersten Verbindungswegs (6) anhand der Maximalgeschwindigkeit (11),dadurch gekennzeichnet, dass durch die Bestimmung der Laufzeit (9) eines ersten Signals (10) und der Bestimmen der Maximalgeschwindigkeit (11) des ersten Verbindungswegs und die Bestimmung der Art eines Übertragungsmediums (12) des ersten Verbindungswegs (6) eine Entropiequelle gebildet wird, aus der mindestens ein dynamischer Schlüssel (28) für den Verbindungsweg (6) ermittelt wird, der zur Verschlüsselung von Zeitsynchronisationsnachrichten für den Verbindungsweg (6) eingesetzt wird.Method for safeguarding the time synchronization of an Ethernet on-board network (2) of a motor vehicle (1), in which the following steps are carried out: - Determination of a transit time (9) of a first signal (10) on a first connection path (6) between a first control unit ( 3) the Ethernet on-board network (2) and a second control unit (4) of the Ethernet on-board network (2); - Determining a maximum speed (11) of the first connection path (6) on the basis of the transit time (9); and - determining a type of transmission medium (12) of the first connection path (6) based on the maximum speed (11),characterized in that by determining the transit time (9) of a first signal (10) and determining the maximum speed (11) of the first connection path and the determination of the type of transmission medium (12) of the first connection path (6) an entropy source is formed from which at least one dynamic key (28) for the connection path (6) is determined, which is used to encrypt time synchronization messages for the connection path ( 6) is used.Verfahren nachAnspruch 1,dadurch gekennzeichnet, dass der dynamische Schlüssel (28) für den Verbindungsweg (6) einmalig pro Zeiteinheit und für jeden Link und im Ethernet-Bordnetzwerk einmalig ist.Procedure according to Claim 1 ,characterized in that the dynamic key (28) for the connection path (6) is unique per time unit and for each link and in the on-board Ethernet network.Verfahren nachAnspruch 1 oder2,dadurch gekennzeichnet, dass eine Generierung des dynamischen Schlüssels (28) für den Verbindungsweg (6) durch die Kombination einer Punkt-zu-Punkt-Leitungsverzögerung und der Nachrichtenfrequenz erfolgtProcedure according to Claim 1 or 2 ,characterized in that the dynamic key (28) for the connection path (6) is generated by combining a point-to-point line delay and the message frequencyVerfahren nach einem derAnsprüche 1 bis3,dadurch gekennzeichnet, dass die Art des Übertragungsmediums (12) einem Programm (13) im Ethernet-Bordnetz (2) mitgeteilt wird und eine Verbindungswegwahl (14) des Programms (13) abhängig von der Art des Übertragungsmediums (12) angepasst wird und das Programm (13) sämtliche Information der Entropiequelle aufnimmt und die Generierung des dynamischer Schlüssel (28) für den Verbindungsweg (6) erfolgt.Method according to one of the Claims 1 until 3 ,characterized in that the type of transmission medium (12) is communicated to a program (13) in the Ethernet on-board network (2) and a connection path selection (14) of the program (13) is adapted depending on the type of transmission medium (12) and that Program (13) receives all information from the entropy source and the dynamic key (28) for the connection path (6) is generated.Verfahren nach einem derAnsprüche 1 bis3,dadurch gekennzeichnet, dass die Art des Übertragungsmediums (12) als optisch, Kupfer oder drahtlos bestimmt wird.Method according to one of the Claims 1 until 3 ,characterized in that the type of transmission medium (12) is determined as optical, copper or wireless.Verfahren nach einem der vorhergehenden Ansprüche,dadurch gekennzeichnet, dass dem ersten Verbindungsweg (6) anhand der Art des Übertragungsmediums (12) ein Übertragungssicherheitswert (15), welcher eine Verlustwahrscheinlichkeit von über den ersten Verbindungsweg (6) übertragenen Daten beschreibt, zugewiesen wird.Method according to one of the preceding claims,characterized in that the first connection path (6) is assigned a transmission security value (15) which describes a loss probability of data transmitted via the first connection path (6) based on the type of transmission medium (12).Verfahren nach einem der vorhergehenden Ansprüche,dadurch gekennzeichnet, dass Laufzeiten von einer Mehrzahl von Signalen auf dem ersten Verbindungsweg (6) bestimmt werden und die schnellste Laufzeit der Mehrzahl der Signale ausgewählt wird, wobei die Maximalgeschwindigkeit (11) des ersten Verbindungswegs (6) anhand der schnellsten Laufzeit bestimmt wird.Method according to one of the preceding claims,characterized in that transit times of a plurality of signals on the first connection path (6) are determined and the fastest transit time of the plurality of signals is selected, the maximum speed (11) of the first connection path (6) being based on the fastest running time is determined.Verfahren nach einem der vorhergehenden Ansprüche,dadurch gekennzeichnet, dass eine Laufzeit (16) eines zweiten Signals (17) auf einem vom ersten Verbindungsweg (6) unterschiedlichen zweiten Verbindungsweg (7) zwischen der ersten Steuereinheit (3) und der zweiten Steuereinheit (4) bestimmt wird, und eine Maximalgeschwindigkeit (11) des zweiten Verbindungswegs (7) bestimmt wird, wobei eine Art des Übertragungsmediums (19) des zweiten Verbindungswegs (7) anhand der Maximalgeschwindigkeit (11) des zweiten Verbindungswegs (7) bestimmt wird.Method according to one of the preceding claims,characterized in that a transit time (16) of a second signal (17) on a second connection path (7) different from the first connection path (6) between the first control unit (3) and the second control unit (4) is determined, and a maximum speed (11) of the second connection path (7) is determined, wherein a type of transmission medium (19) of the second connection path (7) is determined based on the maximum speed (11) of the second connection path (7).Verfahren nach einem der vorhergehenden Ansprüche,dadurch gekennzeichnet, dass das Verfahren nach einem Wechsel der ersten Steuereinheit (3) von einem Normalbetriebsmodus in einen Energiesparmodus und/oder vom Energiesparmodus in den Normalbetriebsmodus ausgeführt wird.Method according to one of the preceding claims,characterized in that the method is carried out after the first control unit (3) has changed from a normal operating mode to an energy-saving mode and / or from the energy-saving mode to the normal operating mode.Verfahren nach einem der vorhergehenden Ansprüche,dadurch gekennzeichnet, dass die Laufzeit (9) des ersten Signals (10) mit der ersten Steuereinheit (3) bestimmt wird und eine Laufzeit (21) eines dritten Signals (22) auf einem nur indirekt mit der ersten Steuereinheit (3) verbundenen dritten Verbindungsweg (8) zwischen der zweiten Steuereinheit (4) und einer dritten Steuereinheit (5) des Ethernet-Bordnetzes (2) mit der dritten Steuereinheit (5) bestimmt wird, wobei die Bestimmung der Laufzeit (21) des dritten Signals (22) durch eine von der ersten Steuereinheit (3) an die dritte Steuereinheit (5) gesendete Dienstnachricht (20) ausgelöst wird.Method according to one of the preceding claims,characterized in that the transit time (9) of the first signal (10) is determined with the first control unit (3) and a transit time (21) of a third signal (22) is determined only indirectly with the first Control unit (3) connected third connection path (8) between the second control unit (4) and a third control unit (5) of the Ethernet on-board network (2) with the third control unit (5) is determined, the determination of the transit time (21) of the third signal (22) is triggered by a service message (20) sent from the first control unit (3) to the third control unit (5).Steuereinheit für ein Ethernet-Bordnetz (2), welche als erste Steuereinheit (3) dazu ausgebildet ist:- ein Signal (10) an eine zweite Steuereinheit (4) des Ethernet-Bordnetzes (2) zu senden und das Signal (10) von der zweiten Steuereinheit (4) zu empfangen;- eine Laufzeit (9) des Signals (10) auf einem Verbindungsweg (6) zur zweiten Steuereinheit (4) zu bestimmen;- eine Maximalgeschwindigkeit (11) des Verbindungswegs (6) anhand der Laufzeit (9) zu bestimmen; und- eine Art eines Übertragungsmediums (12) des Verbindungswegs (6) anhand der Maximalgeschwindigkeit (11) zu bestimmen,dadurch gekennzeichnet, dass die Steuereinheit (3) umfasst mindestens:- ein Mikroprozessor (402),- einen flüchtigen Speicher (404) und nichtflüchtigen Speicher (406),- mindestens zwei Kommunikationsschnittstellen (408),- einen synchronisierbaren Zeitgeber 410, der nichtflüchtige Speicher (406) Programminstruktionen enthält die, wenn sie von dem Mikroprozessor (402) ausgeführt werden, zumindest eine Ausgestaltung des erfindungsgemäßen Verfahrens nachAnspruch 1 bis10 implementieren und die Entropiequelle im flüchtigen und/oder nichtflüchtigen Speicher 404, 406 gebildet wird, aus der die dynamischen Schlüssel (28) für die Verbindungswege (6) gebildet werden.Control unit for an Ethernet on-board network (2), which is designed as a first control unit (3) to: - send a signal (10) to a second control unit (4) of the Ethernet on-board network (2) and send the signal (10) from the second control unit (4) to receive; - to determine a transit time (9) of the signal (10) on a connection path (6) to the second control unit (4); - To determine a maximum speed (11) of the connection path (6) on the basis of the transit time (9); and - to determine a type of transmission medium (12) of the connection path (6) on the basis of the maximum speed (11),characterized in that the control unit (3) comprises at least: - a microprocessor (402), - a volatile memory (404) and non-volatile memory (406), - at least two communication interfaces (408), - a synchronizable timer 410, the non-volatile memory (406) contains program instructions which, when they are executed by the microprocessor (402), at least one embodiment of the method according to the invention Claim 1 until 10 and the entropy source is formed in the volatile and / or non-volatile memory 404, 406, from which the dynamic keys (28) for the connection paths (6) are formed.Ethernet-Bordnetz (2) für ein Kraftfahrzeug (1), mit einer ersten Steuereinheit (3) und einer zweiten Steuereinheit (4), wobei die Steuereinheiten (3, 4) über zumindest einen Verbindungsweg (6, 7) miteinander verbunden sind, und die erste Steuereinheit (3) gemäßAnspruch 11 ausgebildet ist.Ethernet on-board network (2) for a motor vehicle (1), with a first control unit (3) and a second control unit (4), the control units (3, 4) being connected to one another via at least one connection path (6, 7), and the first control unit (3) according to Claim 11 is trained.Ethernet-Bordnetz nachAnspruch 12,dadurch gekennzeichnet, dass das Ethernet-Bordnetz (2) eine dritte Steuereinheit (5) aufweist, welche nur indirekt mit der ersten Steuereinheit (3) verbunden ist und über einen dritten Verbindungsweg (8) direkt mit der zweiten Steuereinheit (4) verbunden ist, wobei die dritte Steuereinheit (5) dazu ausgebildet ist, eine Laufzeit (21) eines dritten Signals (22) auf dem dritten Verbindungsweg (8) zu bestimmen, wobei die erste Steuereinheit (3) dazu ausgebildet ist, die Bestimmung der Laufzeit (21) des dritten Signals (22) durch eine Dienstnachricht (20) an die dritte Steuereinheit (5) auszulösen.Ethernet on-board network Claim 12 ,characterized in that the Ethernet on-board network (2) has a third control unit (5) which is only indirectly connected to the first control unit (3) and is directly connected to the second control unit (4) via a third connection path (8) , the third control unit (5) being designed to determine a transit time (21) of a third signal (22) on the third connection path (8), the first control unit (3) being designed to determine the transit time (21 ) to trigger the third signal (22) by a service message (20) to the third control unit (5).Computerprogrammprodukt umfassend Befehle, die bei der Ausführung des Programms durch einen Computer diesen veranlassen, das Verfahren (200) nach einem oder mehreren derAnsprüche 1-10 auszuführen.Computer program product comprising instructions which, when the program is executed by a computer, cause the program to be executed, the method (200) according to one or more of the Claims 1 - 10 to execute.Computerlesbareres Medium, auf dem das Computerprogrammprodukt nachAnspruch 14 gespeichert ist.Computer-readable medium on which the computer program product is after Claim 14 is stored.Fahrzeug mit mehreren Steuereinheiten (3, 4, 5) nachAnspruch 12 umfassenden Ethernet-Bordnetzwerk.Vehicle with several control units (3, 4, 5) according to Claim 12 comprehensive on-board Ethernet network.

Images